이란 정부와 연계된 해킹 그룹 'Handala Hack'이 텔레그램을 원격 명령 통제(C2) 채널로 사용하는 악성코드 **HEAVYGRAM**을 활용해 이란 반정부 인사, 언론인, 반체제 단체를 집중 공격하고 있습니다. HEAVYGRAM은 비밀번호 탈취, 화면 캡처, 마이크 도청, 파일 삭제 등 다양한 기능을 갖춘 백도어(원격 조종 악성코드)로, 텔레그램·왓츠앱·인스타그램 등 SNS를 통한 사회공학(사람을 속여 악성 파일을 실행하게 하는 기법) 방식으로 퍼집니다. 악성코드는 Pictory, KeePass, Telegram 같은 정상 앱으로 위장해 배포되며, 설치 후 Windows 레지스트리에 자동 실행을 등록해 지속적으로 활성 상태를 유지합니다. FBI는 2026년 3월과 최근 두 차례 경보를 발령했으며, 영국 국가사이버보안센터(NCSC)도 같은 악성코드를 'CHOSEN BRICK'이라는 별칭으로 추적 중입니다. 반정부 활동가나 언론인과 연관된 조직의 보안 담당자라면 즉각적인 모니터링 강화와 의심 파일 실행 차단이 필요합니다.
이란 MOIS(정보보안부) 산하 위협 행위자 Void Manticore가 운영하는 'Handala Hack' 페르소나가 텔레그램 기반 백도어 HEAVYGRAM과 Delphi 기반 드로퍼(악성코드를 설치하는 도구) CRUDEEXCLUDE를 이용해 이란 반체제 인사·언론인을 대상으로 스파이 활동 및 데이터 유출 작전을 수행하고 있음.
비밀번호·브라우저 데이터·텔레그램·왓츠앱 세션 파일 탈취, 마이크 도청, 원격 명령 실행, 추가 악성코드 배포 가능. 다섯 명의 Iran International 소속 언론인 신상 공개(doxxing) 사례 확인.
텔레그램·왓츠앱·인스타그램을 통한 정교한 사회공학 기법으로 기술 지원이나 지인을 사칭해 악성 설치파일을 전달. Microsoft Defender 검사 경로 제외 설정으로 탐지 회피.
FBI가 2026년 3월 및 최근 경보 발령. 영국 NCSC가 동일 악성코드 추적 중(CHOSEN BRICK). Group-IB가 상세 기술 분석 보고서 발표.
SNS·메신저로 전달된 설치파일은 발신자가 신뢰할 수 있는 사람이더라도 실행 전 반드시 검증해야 함. Windows Defender 제외 경로 무단 추가 여부와 레지스트리 자동 실행 항목을 정기 점검하고, 텔레그램 봇 관련 비정상 네트워크 트래픽을 모니터링할 것.
본문
이란과 연계된 '핵티비스트(사회적·정치적 목적의 해킹 활동가)' 페르소나 Handala Hack이 HEAVYGRAM이라는 텔레그램 기반 감시 백도어와 CRUDEEXCLUDE라는 Delphi 기반 유틸리티에 연루된 것으로 밝혀졌다.
Group-IB는 "HEAVYGRAM은 원격 명령 실행, 시스템·네트워크·프로세스 정보 수집, 데이터 및 텔레그램 세션 파일 탈취, 스크린샷 캡처, DLL 사이드로딩(정상 프로그램에 악성 DLL을 끼워 넣는 기법), 파일 정리, Windows 자동 실행 레지스트리 키를 통한 지속성 유지 등 내장 명령을 지원한다"고 밝혔다.
CRUDEEXCLUDE는 HEAVYGRAM과 같은 후속 단계 악성코드 배포 환경을 준비하는 데 사용되는 Delphi 기반 Windows 유틸리티다. 2024년 7월 말 처음 발견된 이 악성코드는 그래픽 사용자 인터페이스(GUI)를 갖춘 정상 애플리케이션으로 위장하는 경우가 많으며, 탐지 회피를 위해 Microsoft Defender 검사 제외 경로를 구성한다.
이번 분석 결과는 미국 연방수사국(FBI)이 2026년 3월 처음 발령하고 이번 주 초 재발령한 경보를 바탕으로 한다. FBI는 해당 경보에서 이란 정보보안부(MOIS)를 대신해 활동하는 이란 사이버 행위자들이 이란 반체제 인사, 이란에 비판적인 언론인, 기타 반정부 단체를 표적으로 삼아 정보 수집, 데이터 유출, 표적 인물에 대한 명예훼손 작전을 수행하고 있다고 지목했다.
영국 국가사이버보안센터(NCSC)도 동일한 악성코드 계열을 CHOSEN BRICK이라는 이름으로 추적하고 있으며, "다양한 잠재적 작전 목표를 지원하는 데 활용될 수 있는 유연한 도구"라고 설명하고 있다는 점도 주목할 만하다.
공격은 주로 텔레그램, 왓츠앱, 인스타그램 등 메시징 플랫폼을 통한 사회공학 기법으로 시작된다. 공격자는 기술 지원을 제공하거나 신뢰할 수 있는 지인인 척 위장해 표적과 접촉한 뒤, 무해한 설치 파일로 보이는 악성코드를 전달해 감염을 유발한다. 이 애플리케이션들은 Pictory, KeePass, Telegram 등 정상 앱으로 위장하며, 2단계 임플란트(악성코드)를 내장하고 있다.
2023년 10월 7일 하마스 및 기타 팔레스타인 무장 단체의 이스라엘 남부 공격 직후 등장한 Handala Hack은 이란 MOIS와 연계된 위협 행위자 Void Manticore(Banished Kitten, Red Sandstorm, Storm-0842로도 불림)가 운영하는 온라인 페르소나로 평가된다. 이 단체는 파괴적인 와이핑(데이터 삭제) 공격과 해킹-유출 작전 이력이 있다.
캐나다 신속대응메커니즘(RRM)은 지난 9월 발표한 경보에서, 이 위협 행위자가 해킹-유출 작전의 일환으로 Iran International 소속 기자 5명(국내 기자 1명 포함)을 표적으로 삼아 신상 정보를 공개(doxxing)했다고 지적했다.
Group-IB에 따르면 HEAVYGRAM은 2023년 9월 처음 실제 환경에서 탐지됐다. 악성코드는 실행되면 Defender가 악성 페이로드가 준비된 경로를 검사하지 못하도록 차단하고, PowerShell 코드를 실행해 Windows 레지스트리를 통한 차기 임플란트의 지속성을 설정한다.
이 Python 기반 악성코드의 주목할 만한 특징은 명령 및 제어(C2)에 텔레그램을 활용한다는 점이다. 이를 통해 실행 중인 프로그램 목록 확인, 스크린샷 촬영, 웹 브라우저 데이터 캡처, 파일 업로드·다운로드, 마이크 활성화, 텔레그램·왓츠앱 데이터 복사, 저장된 비밀번호 탈취, 추가 악성코드 다운로드, 파일 삭제 등의 기능을 수행할 수 있다.
텔레그램 봇으로 수신된 메시지는 접두사 구분자 시스템에 따라 처리된다.
- 접두사
@@:os.popen을 통한 임의 시스템 명령 실행 - 접두사
**: 메시지 본문을C:\ProgramData\ur.txt에 기록 - 접두사
##: 다음 기능을 지원하는 백도어 명령 세트 활성화runexe— 호스트에서 임의 프로세스 시작whois—api.ipify[.]org를 통해 호스트의 공용 IP 주소 조회runtro— 2차 트로이목마 페이로드 실행cht— C2 텔레그램 봇 토큰 및 운영자 사용자 ID 동적 업데이트regtro— 트로이목마 페이로드를 Windows 자동 실행 레지스트리 키에 설치reg— 주요 악성코드 실행 파일을 Windows 자동 실행 레지스트리 키에 설치dt— 텔레그램 데스크탑 애플리케이션 데이터 탈취
Group-IB는 "텔레그램 봇을 통해 수신된 첨부파일은 파일명 패턴 매칭에 따라 처리된다"고 밝혔다. "지속형 임플란트는 두 가지 함수를 통해 C2 통신을 처리한다. send_initial_message는 침해된 호스트의 전체 컴퓨터 도메인명을 포함한 최초 연결 비콘을 전송하고, send_health_msg는 24시간마다 호스트 도메인명이 담긴 하트비트 메시지를 보내 임플란트가 활성 상태임을 확인하는 백그라운드 스레드다."
HEAVYGRAM은 네 가지 방법으로 전달되는 것으로 확인됐다: WSF/VBS 스크립트, VBScript 및 HTML 애플리케이션(HTA) 파일, 임베디드 아카이브가 포함된 실행 파일, 임베디드 아카이브가 포함된 CRUDEEXCLUDE. CRUDEEXCLUDE는 2025년 12월 Google이 처음 문서화한 도구로, Pictory와 Telegram 같은 정상 앱으로 위장하면서 HEAVYGRAM 및 SHADEGENES라는 또 다른 악성코드 계열을 저장할 스테이징 디렉터리를 설정하는 데 사용된다.
텔레그램 인프라를 추가 분석한 결과, 두 가지 주요 구성이 확인됐다. 하나는 C2가 단일 텔레그램 봇과 그룹에 의존하는 구성이고, 다른 하나는 하나의 봇이 체크인을 처리하고 보조 봇이 로깅 및 스테이지 폴링을 그룹과 함께 관리하는 구성이다.
Group-IB는 "새롭게 식별된 샘플들은 운영자가 맞춤형 사회공학, 앱 위장, 탐지 회피, 지속적 접근 권한을 결합해 표적을 침해하는 유연한 다단계 감염 체인을 보여준다"고 설명했다. "전체 작전에 걸쳐 텔레그램을 광범위하게 활용하는 점이 특히 주목할 만하다. 이를 통해 운영자들은 설정·유지 관리·교체 비용이 낮은 기본 암호화 명령 및 제어 채널을 확보하고 있다."
