De Iraanse hackergroep RampantKitten heeft langdurig Iraanse expats en dissidenten afgeluisterd en in de gaten gehouden. Daarvoor werd een hele trukendoos aan exploits gebruikt. Onderzoekers van Check Point Software melden dat de grootschalige afluisterzaak minstens zes jaar lang onder de radar is gebleven.

De meeste slachtoffers waren Iraanse staatsburgers, onder wie ook een aantal onderzoekers en journalisten. De aanvallers zijn binnengedrongen op pc’s en smartphones en hebben communicatie via Telegram en diverse social media onderschept of afgeluisterd. Bij het onderzoek zijn vier bestanden geïdentificeerd die informatie stelen van Windows-pc’s. Ook konden de aanvallers toegang krijgen tot Telegram Desktop en bemachtigden ze accountinformatie van KeePass. Verder is er een Android-app aangetroffen waarmee telefoongesprekken afgeluisterd kunnen worden en zijn nep-Telegram-pagina’s geproduceerd en nep-Telegram accounts aangemaakt.

Om toegang te krijgen tot pc’s werd gebruikt gemaakt van een Word-bestand. Het Word-bestand bevatte externe sjablonen waardoor het documentsjabloon van een externe server kon worden geladen met een url die sterk leek op een Sharepoint-server. In het externe sjabloon zit een kwaadaardige macrocode die een batch-bestand laadt en malware installeert. De malware controleert vervolgens of de desktop-versie van Telegram is geïnstalleerd. Als dat het geval is worden drie executable-bestanden geladen die het berichtenverkeer onderscheppen.

Volgens de onderzoekers is het opvallend dat deze middelen zijn ingezet op expats en dissidenten uit Iran. Voorheen werden dergelijke technieken vooral gebruikt bij leden van kleine verzetsbewegingen.