El colectivo hacktivista Handala Hack, vinculado a intereses iraníes, ha sido señalado como responsable del desarrollo y despliegue de HEAVYGRAM, un backdoor diseñado específicamente para operar a través de la plataforma de mensajería Telegram. Según un análisis técnico reciente, esta herramienta no solo permite la ejecución remota de comandos, sino que incorpora capacidades de reconocimiento de red, exfiltración de archivos de sesión de Telegram, captura de pantallas y técnicas de DLL sideloading para persistir en el sistema comprometido.

El hallazgo, atribuido a investigadores de seguridad que rastrean la actividad de grupos alineados con Teherán, marca un salto cualitativo en el modus operandi de Handala Hack. Históricamente, este colectivo se había centrado en operaciones de desfiguración web, filtraciones de datos simbólicas y campañas de propaganda digital. La aparición de HEAVYGRAM —junto a una utilidad complementaria escrita en Delphi denominada CRUDEEXCLUDE— sugiere una transición hacia el espionaje técnico sostenido, con especial interés en credenciales, tokens de sesión y metadatos de comunicaciones privadas.

La elección de Telegram como vector no es casual. La plataforma, ampliamente adoptada en entornos corporativos y gubernamentales de Oriente Medio y Europa del Este, ofrece una superficie de ataque atractiva: sus clientes de escritorio almacenan localmente claves de sesión y cachés de mensajes que, si son sustraídos, permiten la toma de control de cuentas sin necesidad de interceptar SMS ni vencer la autenticación de dos factores. HEAVYGRAM automatiza esta extracción y la envía a servidores de comando y control (C2) camuflados tras infraestructura legítima, dificultando la detección por firewalls y soluciones EDR convencionales.

Desde el punto de vista técnico, el uso de Delphi para CRUDEEXCLUDE llama la atención. Aunque es un lenguaje menos común en malware moderno, su compilación nativa y la facilidad para interactuar con APIs de Windows lo convierten en una opción sólida para utilidades de post-explotación que requieren bajo nivel de detección estática. Además, la implementación de DLL sideloading en HEAVYGRAM aprovecha binarios firmados de confianza —a menudo de proveedores de software legítimo— para cargar código malicioso en memoria, una técnica que sigue siendo efectiva pese a su antigüedad.

La atribución a Iran no se basa únicamente en indicadores técnicos (infraestructura compartida, patrones de compilación, overlaps de C2 con campañas previas como las de APT35 o MuddyWater), sino también en el contexto geopolítico: los objetivos observados coinciden con entidades opuestas a los intereses estratégicos de la República Islámica, incluyendo organizaciones de derechos humanos, medios de comunicación independientes y sectores de defensa en países del Golfo.

Para los equipos de seguridad, la lección es clara: la monitorización de anomalías en clientes de mensajería instantánea debe integrarse en las estrategias de detección y respuesta. La rotación periódica de sesiones de Telegram, la restricción de ejecución de binarios no firmados y la inspección de cargas de DLL sospechosas son medidas inmediatas. A largo plazo, la inteligencia de amenazas debe contemplar la evolución de grupos hacktivistas hacia capacidades APT, difuminando la línea entre activismo ruidoso y espionaje silencioso.

En un panorama donde las fronteras entre cibercrimen, hacktivismo y operaciones estatales son cada vez más porosas, HEAVYGRAM sirve como recordatorio de que plataformas de comunicación consideradas "seguras" pueden convertirse en el talón de Aquiles de una organización si el endpoint no está debidamente fortificado.