Die Behörden betonen, dass die Gefahr über den reinen Datendiebstahl hinausreicht: Bildschirmfotos und weitere gesammelte Informationen können Kontakte, Aufenthaltsort und Tagesablauf einer Zielperson offenlegen. Persönliche Daten einiger Opfer tauchten auf proiranischen Leak-Seiten auf, was laut Warnung das Risiko für deren Sicherheit erhöht. Im März beschlagnahmte das US-Justizministerium vier solcher iranischer Leak-Seiten, über die nach eigenen Angaben gestohlene Daten veröffentlicht und zur Tötung von Dissidenten und Journalisten aufgerufen wurde.
Nach Einschätzung der Behörden nutzt der Iran solche Cyberaktivitäten mit an Sicherheit grenzender Wahrscheinlichkeit, um als Bedrohung wahrgenommene Personen zu unterdrücken. In einzelnen Fällen hätten die Geheimdienste des Landes Entführungen oder Tötungen im Ausland geplant.
Der Angriff beginnt mit einer Kontaktaufnahme: Die Angreifer geben sich als Bekannte der Zielperson oder als technischer Support eines Messengers aus, bauen Vertrauen auf und senden dann eine Datei, die wie ein legitimes Programm aussieht. Häufig setzen sie zunächst am Arbeitsrechner an; scheitert das, versuchen sie den Wechsel auf ein privates Gerät, das nicht durch die Unternehmenssicherheit geschützt ist.
Als Tarnung dienten unter anderem die KI-Video-App Pictory, der Passwortmanager KeePass, Telegram selbst, RunwayML, Norton Antivirus und Adobe Flash Player. In manchen Fällen wurde die Datei als MRT-Befund aufgemacht. Öffnet das Opfer die Datei, erscheint ein überzeugender Fake-Bildschirm, während im Hintergrund die eigentliche Schadsoftware installiert wird. Die erste Stufe gibt sich als die jeweilige Anwendung aus, die zweite verbindet den Rechner mit einem Telegram-Bot, über den die Angreifer ihn steuern und Daten abgreifen. Alle bislang beobachteten Varianten laufen ausschließlich unter Windows.
Um einen Neustart zu überstehen, trägt sich die Schadsoftware in einen “Run”-Schlüssel der Windows-Registry ein und startet so bei jeder Anmeldung erneut. Zudem weist sie Microsoft Defender an, bestimmte Ordner von der Prüfung auszunehmen. Jeder infizierte Rechner erhält einen eigenen Telegram-Bot – dadurch vermischen sich die Aktivitäten verschiedener Opfer nicht.
Der Funktionsumfang ist breit: laufende Programme auflisten, Bildschirmfotos anfertigen, das Mikrofon einschalten, Telegram- und WhatsApp-Daten aus dem Browser kopieren, gespeicherte Passwörter und E-Mail-Adressen stehlen, weitere Schadsoftware nachladen und Dateien löschen. Mindestens eine Version kann den Rechner laut gemeinsamer Warnung auch vollständig löschen.
Eine selbstständige Ausbreitung im Netzwerk wurde bislang nicht beobachtet, wohl aber das Nachladen weiterer Werkzeuge. Gestohlene Dateien verlassen den Rechner über den Telegram-Bot sowie über Cloud-Speicherdienste wie Vultr und Storj; neuere Versionen leiten ihren Telegram-Verkehr zur Verschleierung über Proxy-Server.
Die FBI-Analyse und die gemeinsame Warnung enthalten die vollständige Liste der Indikatoren samt Datei-Hashes. Die Behörden weisen darauf hin, dass Dateinamen und Ordner wechseln können und die genannten Merkmale deshalb nicht als abschließend gelten dürfen. Wer einen Befall vermutet, soll den beschriebenen “Run”-Schlüssel prüfen, den IT-Support informieren und den Fall der nationalen Cyberbehörde melden. Ob das Entfernen der Schadsoftware allein eine Kompromittierung beseitigt, lassen die Warnungen offen.
Als das FBI im März erstmals vor der Kampagne warnte, erklärte Telegram gegenüber TechCrunch, seine Moderatoren entfernten “routinemäßig alle Konten, bei denen eine Beteiligung an Schadsoftware festgestellt wird”. Die Behörden präsentieren ihre Schlussfolgerungen als Einschätzungen, nicht als gerichtlich geklärte Sachverhalte.