Handala Hack entstand kurz nach den bewaffneten Angriffen der Hamas und weiterer palästinensischer Milizen auf den Süden Israels am 7. Oktober 2023. Die Persona wird der Gruppe Void Manticore zugerechnet, die auch als Banished Kitten, Red Sandstorm und Storm-0842 geführt wird und dem iranischen Geheimdienstministerium MOIS zugeordnet ist. Der Akteur ist für zerstörerische Wiper-Angriffe sowie für Hack-and-Leak-Operationen bekannt. Der kanadische Rapid Response Mechanism (RRM) machte die Gruppe in einer Warnung im vergangenen September dafür verantwortlich, fünf Journalisten von Iran International – darunter eine Person aus dem Land selbst – im Rahmen einer Hack-and-Leak-Operation ins Visier genommen und deren Daten offengelegt zu haben.
Die Angriffe beginnen typischerweise mit Social Engineering über Messenger wie Telegram, WhatsApp und Instagram. Die Operateure geben sich als technischer Support oder als vertraute Kontakte aus und liefern anschließend Schadsoftware, die als harmloses Installationsprogramm getarnt ist. Die Dateien imitieren legitime Anwendungen wie Pictory, KeePass und Telegram und enthalten das Implantat der zweiten Stufe.
CRUDEEXCLUDE dient dabei als Wegbereiter: Das in Delphi geschriebene Windows-Programm bereitet die Umgebung für nachfolgende Stufen wie HEAVYGRAM vor, tritt häufig mit grafischer Oberfläche als legitime Anwendung auf und trägt Ausschlusspfade in Microsoft Defender ein, um der Erkennung zu entgehen. Erstmals beobachtet wurde es Ende Juli 2024; Google dokumentierte es im Dezember 2025 als Werkzeug zum Anlegen von Staging-Verzeichnissen für HEAVYGRAM und eine weitere Familie namens SHADEGENES.
Nach dem Start verhindert HEAVYGRAM, dass Defender die Ablagepfade der Schadlast durchsucht, und richtet über PowerShell-Code Persistenz für das Implantat der nächsten Stufe in der Windows-Registry ein. Die in Python geschriebene Schadsoftware nutzt Telegram als Befehls- und Kontrollkanal. Darüber kann sie laufende Programme auflisten, Bildschirmfotos anfertigen, Browserdaten abgreifen, Dateien hoch- und herunterladen, das Mikrofon einschalten, Telegram- und WhatsApp-Daten kopieren, gespeicherte Passwörter stehlen, weitere Schadsoftware nachladen und Dateien löschen.
Eingehende Nachrichten des Telegram-Bots werden über ein Präfix-Trennzeichensystem ausgewertet, Anhänge anhand von Dateinamensmustern zugeordnet. Für die Kommunikation mit der Steuerinfrastruktur nutzt das persistente Implantat laut Group-IB zwei Funktionen: “send_initial_message” sendet ein erstes Verbindungssignal mit dem vollständigen Computerdomänennamen des kompromittierten Systems, “send_health_msg” schickt als Hintergrundprozess alle 24 Stunden eine Lebenszeichen-Nachricht mit demselben Namen.
Ausgeliefert wird HEAVYGRAM auf vier Wegen: über WSF/VBS-Skripte, über VBScript in Kombination mit HTML-Application-Dateien (HTA), über ausführbare Dateien mit eingebetteten Archiven sowie über CRUDEEXCLUDE mit eingebetteten Archiven. Bei der Telegram-Infrastruktur fand Group-IB zwei Aufbauten: einen mit einem einzigen Bot und einer Gruppe, und einen zweiten, bei dem ein Bot die Anmeldungen der Opfer verarbeitet, während ein zweiter Bot Protokollierung und Stufenabfrage in einer Gruppe übernimmt.
“Die neu identifizierten Proben zeigen eine flexible, mehrstufige Infektionskette, in der die Operateure zugeschnittenes Social Engineering, Anwendungstarnung, Erkennungsumgehung und dauerhaften Zugang kombinieren, um Ziele von Interesse zu kompromittieren”, so Group-IB. Besonders auffällig sei der durchgängige Einsatz von Telegram, der einen von Haus aus verschlüsselten Steuerkanal mit geringen Kosten für Einrichtung, Wartung und Wechsel biete.