معرفة سابقة تصنع الثقة
في 15 سبتمبر 2026، نشرت بريطانيا والولايات المتحدة وهولندا تحذيرًا عن استهداف معارضين وصحفيين وناشطين ببرمجية CHOSEN BRICK. أعادت الجهات الثلاث النشاط إلى 2025 على الأقل. كان المهاجم يتواصل عبر WhatsApp أو Telegram، متظاهرًا بأنه شخص يعرفه الهدف أو موظف دعم فني. وبعد بناء الثقة، يقترح فتح برنامج يبدو مشروعًا أو ملف يشبه نتيجة تصوير بالرنين المغناطيسي. يساعد اهتمام الضحية بالرسالة ومعرفته المفترضة بمرسلها على نقل الحديث إلى تثبيت ملف يمنح جهة إيرانية حكومية وصولًا إلى جهاز Windows.
الجهاز الذي يغادر حماية العمل
حين يفشل فتح الملف على حاسوب العمل، أو يبدو احتمال اكتشافه مرتفعًا، يحاول المهاجم نقل المحادثة إلى جهاز شخصي. هناك يستطيع CHOSEN BRICK التقاط الشاشة وتشغيل الميكروفون وجمع البريد وبيانات تطبيقات التواصل. يتصل كل جهاز ببوت مختلف على Telegram لتلقي الأوامر. لا تجعل هذه القناة تطبيق Telegram نفسه مخترقًا؛ إنها خدمة مشروعة استُخدمت لإدارة برمجية مزروعة. وذكر التحذير أن بيانات بعض الضحايا ظهرت على مواقع تسريب موالية لإيران، مما يربط سرقة المعلومات باحتمال زيادة تعرض أصحابها للمضايقة والخطر.
تحقيق آخر يحمل اسم HEAVYGRAM
في اليوم نفسه، حدّث FBI تقريرًا منفصلًا عن HEAVYGRAM. نسب المكتب استخدامها إلى وزارة الاستخبارات والأمن الإيرانية، وقال إن نشاطها يعود إلى خريف 2023. وصفت العينات التي فحصها استدراجًا بانتحال خدمات تقنية، أو إقناع الهدف بتثبيت أدوات تتيح الوصول إلى جهازه. ثم تؤدي HEAVYGRAM وظائف مراقبة وجمع معلومات، مستفيدة من Telegram لنقل أوامر المشغّل. لهذا التحقيق تسميته وعيناته ومساره الخاص، ولا يثبت تشابه وسيلة الاتصال أنه يتناول البرمجية نفسها التي وصفها التحذير المشترك باسم CHOSEN BRICK.
عينات أكثر واسم مشغّل مرجّح
بعد يومين، أضافت Group-IB تحليل 29 عينة جديدة تشمل مكونات تحميل وحمولات مرتبطة بـ HEAVYGRAM. تتبع الباحثون كيف تتعاون هذه المكونات لتثبيت الوصول والتقاط الشاشة وإخراج البيانات وتنفيذ الأوامر. وربطوا النشاط باسم Handala Hack بثقة متوسطة، مستندين إلى وثائق أمريكية وتوافقات في الأدوات والبنية والضحايا. كما وجدوا حسابات وبوتات استُخدمت عبر أكثر من عينة. لكن بقاء حساب على Telegram في 2026 لا يثبت استمرار استخدامه في العملية، إذ انتقل بعض ما رُصد إلى أطراف أخرى وأعيد توظيفه.
ما يجمع التحقيقين وما يفصلهما
توضح مقارنة التحقيقات مسارًا يمكن فهمه دون دمج أصحابها أو أدواتها: معرفة بالضحية تسبق الرسالة، ثم ملف ملائم لاهتمامه، ثم وصول يستمر بعد انتهاء الحديث. في حالة HEAVYGRAM، يفرّق التقرير بين إسناد FBI إلى جهة حكومية وتقدير Group-IB لهوية المشغّل المعروف علنًا باسم Handala. وتكشف العينات كيف تتحول المحادثة الفردية إلى مورد لجمع معلومات يمكن استخدامها لاحقًا في تسريب أو ضغط. تبقى لكل حادثة حدودها؛ فالأدلة المنشورة لا تحدد مصير كل مستهدف، ولا تثبت أن جميع من تلقوا هذه الرسائل أصيبوا.