Na terça-feira, um activista iraniano baseado no Reino Unido Nariman Gharib Ele tuitou uma captura de tela editada do link de phishing enviado por mensagem do WhatsApp.
“Não clique em links suspeitos”, alertou Ghalib. O ativista, que acompanha de longe os aspectos digitais dos protestos no Irão, disse que a campanha tem como alvo pessoas como ele, que estão envolvidas em atividades relacionadas com o Irão.
Esta campanha de hackers surge no momento em que o Irã enfrenta questões como: O desligamento da Internet em todo o país é o mais longo da históriaDado que o Irão e os seus adversários mais próximos são muito activos no ciberespaço ofensivo (ou seja, na pirataria informática) à medida que os protestos antigovernamentais e as repressões violentas se intensificam em todo o país, queríamos saber mais.
Gharib compartilhou o link completo de phishing com o TechCrunch logo após a postagem, permitindo-nos capturar uma cópia do código-fonte da página de phishing usada no ataque. Ele também compartilhou um artigo resumindo suas descobertas..
O TechCrunch analisou o código-fonte da página de phishing e adicionou informações de pesquisadores de segurança para acreditar que a campanha tinha como objetivo roubar o Gmail e outras credenciais online, comprometer contas do WhatsApp e conduzir vigilância roubando dados de localização, fotos e gravações de voz.
No entanto, não está claro se os hackers são agentes governamentais, espiões, cibercriminosos ou todos os três.
O TechCrunch também identificou uma maneira de visualizar uma cópia em tempo real de todas as respostas das vítimas armazenadas nos servidores do invasor. Esta cópia permanece pública e pode ser acessada sem senha. Esses dados revelaram dezenas de vítimas que, sem saber, inseriram suas credenciais em sites de phishing e provavelmente foram hackeadas posteriormente.
A lista também inclui acadêmicos do Oriente Médio que trabalham em estudos de segurança nacional. CEO de um fabricante israelense de drones. Um ministro libanês sênior. Pelo menos um jornalista. Pessoas que residem nos Estados Unidos ou têm um número de telefone nos Estados Unidos.
O TechCrunch está publicando suas descobertas após verificar muitos dos relatórios de Gharib. O site de phishing está fechado no momento.
Dentro da cadeia de ataque
Segundo Ghalib, a mensagem do WhatsApp que recebeu continha um link suspeito que carregava um site de phishing no navegador da vítima.
O link indica que os invasores contam com um provedor de DNS dinâmico chamado DuckDNS em suas campanhas de phishing. Um provedor de DNS dinâmico permite que você se conecte a um endereço da web fácil de lembrar. duckdns.org Subdomínios — para servidores cujos endereços IP podem mudar com frequência.
Não está claro se os próprios invasores derrubaram o site de phishing ou se foram capturados e bloqueados pelo DuckDNS. Entramos em contato com o DuckDNS, mas seu proprietário, Richard Harper, solicitou que enviássemos uma denúncia de abuso em seu nome.
Pelo que entendemos, os invasores usaram o DuckDNS para mascarar a localização real da página de phishing, possivelmente fazendo com que parecesse um link genuíno do WhatsApp.
A página de phishing estava realmente hospedada. alex-fabow.onlineum domínio registrado pela primeira vez no início de novembro de 2025. Este domínio tem vários outros domínios relacionados hospedados no mesmo servidor dedicado, e esses nomes de domínio seguem um padrão que sugere que a campanha também tinha como alvo outros provedores de salas de reuniões virtuais, como: meet-safe.online e whats-login.online.
Não sabemos o que acontece quando um link DuckDNS é carregado no navegador da vítima ou como o link determina qual página de phishing específica carregar. Os links DuckDNS podem redirecionar alvos para páginas de phishing específicas com base nas informações coletadas do dispositivo do usuário.
As páginas de phishing não são carregadas no seu navegador, portanto você não pode interagir diretamente com elas. Porém, ao ler o código-fonte da página, conseguimos entender melhor como funcionava o ataque.
Credenciais do Gmail e phishing de número de telefone
Dependendo do alvo, tocar em um link de phishing abre uma página falsa de login do Gmail ou solicita um número de telefone, iniciando um fluxo de ataque destinado a roubar senhas e códigos de autenticação de dois fatores.
No entanto, havia pelo menos uma falha no código-fonte da página de phishing. O TechCrunch descobriu que, ao alterar a URL da página de phishing em um navegador da web, é possível visualizar um arquivo no servidor do invasor que armazena um registro de todas as vítimas que inseriram suas credenciais.
Esse arquivo continha mais de 850 registros de informações enviadas pelas vítimas durante o fluxo do ataque. Esses registros detalhavam cada parte do fluxo de phishing em que a vítima se envolveu. Isso incluía uma cópia do nome de usuário e senha que a vítima havia inserido na página de phishing, bem como a entrada falsa e seu código de dois fatores, que funcionava efetivamente como um keylogger.
Os registros também incluíam uma sequência de texto que identificava o agente do usuário de cada vítima, o sistema operacional e a versão do navegador usado para visualizar o site. Esses dados mostram que a campanha foi projetada para atingir usuários de Windows, macOS, iPhone e Android.
Os arquivos expostos nos permitem acompanhar passo a passo o fluxo do ataque, vítima por vítima. Em um caso, os arquivos publicados mostram que a vítima clicou em um link malicioso, que abriu uma página que lembrava uma janela de login do Gmail. Os registros mostram as vítimas digitando suas credenciais de e-mail várias vezes antes de inserir a senha correta.
A gravação mostra a mesma vítima digitando um código de autenticação de dois fatores enviado por mensagem de texto. Isso ocorre porque o Google codifica códigos de dois fatores em um formato específico, geralmente G-xxxxxxapresentando um código numérico de 6 dígitos).
Sequestro de WhatsApp e vazamento de dados do navegador
Além do roubo de credenciais, a campanha parece permitir a vigilância, enganando as vítimas para que compartilhem a localização, áudio e fotos de seus dispositivos.
No caso de Ghalib, tocar no link da mensagem de phishing abriu uma página falsa com o tema WhatsApp em seu navegador e exibiu um código QR. Essa isca foi projetada para induzir os alvos a escanear um código em seus dispositivos e acessar uma sala de reuniões virtual.
Ghalib disse que o código QR é gerado pelo invasor e, quando escaneado ou grampeado, a conta do WhatsApp da vítima é instantaneamente vinculada ao dispositivo controlado pelo invasor, concedendo acesso aos dados da vítima. isso é, Recurso de link de dispositivo WhatsApp e foram igualmente abusados Segmentar usuários do aplicativo de mensagens Signal.
nós perguntamos Fundadora de Granito Runa Sandvikum pesquisador de segurança que trabalha para ajudar a proteger a segurança de indivíduos em risco, examinou uma cópia do código da página de phishing para ver como funcionava.
A Sandvik descobriu que quando a página é carregada, o código aciona uma notificação no navegador solicitando permissão ao usuário para acessar sua localização. navigator.geolocation), fotos e áudio (navigator.getUserMedia).
Se aceito, o navegador envia instantaneamente as coordenadas da pessoa ao invasor, permitindo-lhe localizar a vítima. A página continua a compartilhar os dados de localização da vítima a cada poucos segundos enquanto a página estiver aberta.
O código também permitiu que o invasor usasse a câmera do dispositivo para gravar sequências de áudio e tirar fotos a cada 3 a 5 segundos. No entanto, não vimos nenhum dado de localização, áudio ou imagens coletados no servidor.
Reflexões sobre vitimização, momento e atribuição
Não sabemos quem está por trás desta campanha. O que está claro é que esta campanha teve sucesso no roubo de credenciais das vítimas e as campanhas de phishing podem ressurgir.
Embora as identidades de algumas das pessoas desta população de vítimas-alvo sejam conhecidas, não há informação suficiente para compreender a natureza da campanha. O número de vítimas hackeadas por esta campanha (tanto quanto sabemos) é bastante pequeno, menos de 50. E afectou não só pessoas aparentemente comuns em toda a comunidade curda, mas também académicos, funcionários do governo, líderes empresariais e outros dignitários na diáspora iraniana e no Médio Oriente.
Pode haver muito mais vítimas do que imaginamos, e isso poderia nos ajudar a entender quem foi o alvo e, potencialmente, por quê.
Casos em que este pode ser um invasor patrocinado pelo governo
Não está claro o que motivou os hackers a roubar as credenciais das pessoas e sequestrar suas contas do WhatsApp, mas isso também pode ajudar a identificar os responsáveis por essa operação de hacking.
Por exemplo, um grupo apoiado pelo governo poderia roubar as palavras-passe de e-mail e os códigos de dois factores de alvos de alto valor, como políticos e jornalistas, permitindo-lhes descarregar informações pessoais e sensíveis.
Isto pode não constituir surpresa, uma vez que o Irão está actualmente quase completamente isolado do mundo exterior, o que torna um desafio a obtenção de informações tanto a nível nacional como internacional. Pode ser razoável que tanto o governo iraniano como os governos estrangeiros com interesse nos assuntos iranianos queiram saber com quem e como os indivíduos influentes associados ao Irão estão a comunicar.
Portanto, dado o momento desta campanha de phishing e quem está a ser alvo, pode ser uma operação de espionagem destinada a recolher informações sobre um número limitado de pessoas.
Também pedimos a Gary Miller, pesquisador de segurança e especialista em espionagem móvel do Citizen Lab, que examinasse o código de phishing e alguns dos dados vazados dos servidores dos invasores.
Miller disse que o ataque “certamente (tinha) as características de uma campanha de spear-phishing associada ao IRGC”. Hacking de e-mail altamente direcionado Foi executado pelo Corpo da Guarda Revolucionária Islâmica Iraniana (IRGC), uma facção dos militares iranianos conhecida por realizar ataques cibernéticos. Miller apontou uma variedade de indicadores, incluindo o alcance internacional da segmentação de vítimas, roubo de credenciais e abuso de plataformas de mensagens populares como o WhatsApp. tecnologia de engenharia social Usado em links de phishing.
Quando existe a possibilidade de a pessoa estar agindo por motivos financeiros
Enquanto isso, um hacker com motivação financeira poderia usar a mesma senha roubada do Gmail e um código de dois fatores de outro alvo de alto valor, como um executivo de uma empresa, para roubar informações comerciais confidenciais de sua caixa de entrada. Os hackers também podem redefinir à força as senhas criptográficas e de contas bancárias das vítimas e esvaziar suas carteiras.
No entanto, o foco da campanha no acesso à localização das vítimas e à mídia do dispositivo é incomum para um invasor com motivação financeira, e fotos e gravações de áudio raramente podem ser usadas.
Pedimos a Ian Campbell, pesquisador de ameaças da DomainTools, que ajuda a analisar registros públicos da Internet, que examinasse nomes de domínio usados em campanhas para entender quando foram estabelecidos e se esses domínios estavam conectados a outra infraestrutura previamente conhecida ou identificada.
Campbell descobriu que, embora a campanha tivesse como alvo as vítimas durante os protestos em curso em todo o Irão, a infra-estrutura já estava instalada semanas antes. Ele acrescentou que a maioria dos domínios associados a esta campanha foram registrados no início de novembro de 2025, e um dos domínios associados foi criado vários meses antes, em agosto de 2025. Campbell descreveu esses domínios como de médio a alto risco e disse que pareciam estar associados a atividades cibercriminosas com motivação financeira.
Ainda mais preocupante, o governo iraniano é conhecido por subcontratar ataques cibernéticos a grupos criminosos de hackers, presumivelmente para proteger o seu envolvimento em operações de hackers contra os seus cidadãos. O Departamento do Tesouro dos EUA Sanções contra empresas iranianas no passado Ele é acusado de atuar como fachada para a Guarda Revolucionária do Irã e de conduzir ataques cibernéticos, como o lançamento de ataques direcionados de phishing e de engenharia social.
“Isso mostra que clicar em links não solicitados do WhatsApp, por mais convincente que seja, é uma atividade arriscada e insegura”, disse Miller.
Para entrar em contato com este repórter com segurança, use o Signal usando o nome de usuário zackwhittaker.1337.
Lorenzo Franceschi-Bicchierai contribuiu com reportagem.
