תוכנה זדונית למובייל DCHSpy

חוקרי אבטחת סייבר חשפו לאחרונה גל חדש של תוכנות ריגול לאנדרואיד, שלדעת הציבור קשורות למשרד המודיעין והביטחון האיראני (MOIS). תוכנות הריגול, המכונות DCHSpy, מופצות תוך התחזות לשירותי VPN לגיטימיים ואף ל-Starlink, שירות האינטרנט הלווייני המופעל על ידי SpaceX. קמפיין זה עולה במקביל למתיחות הגוברת בעקבות הסכסוך הישראלי-איראני ביוני 2025.

הופעתה של DCHSpy

חוקרים זיהו לראשונה את DCHSpy ביולי 2024. הכלי מיוחס ל-MuddyWater, קבוצת האקרים איראנית הנתמכת על ידי המדינה הפועלת תחת שמות בדויים שונים, ביניהם Boggy Serpens, Cobalt Ulster, Earth Vetala, ITG17, Mango Sandstorm (לשעבר Mercury), Seedworm, Static Kitten, TA450 ו-Yellow Nix.

גרסאות מוקדמות של DCHSpy זוהו כמכוונות לדוברי אנגלית ופרסית דרך ערוצי טלגרם, תוך שימוש בנושאים ביקורתיים כלפי המשטר האיראני. התוקפים התמקדו בעיקר במתנגדי משטר, עיתונאים ופעילים על ידי פיתוי שירותי VPN שנראו אמינים.

יכולות טכניות של DCHSpy

DCHSpy הוא טרויאני מודולרי שנועד לאסוף מידע רגיש ממכשירים נגועים. יכולותיו כוללות:

• איסוף נתוני וואטסאפ, אנשי קשר, הודעות SMS ויומני שיחות
• חילוץ חשבונות המחוברים למכשיר
• גישה לקבצים ונתוני מיקום
• הקלטת שמע סביבתי וצילום תמונות

הנוזקה מסוגלת גם לשמור על מעקב מתמיד אחר הקורבן, ולהפוך למעשה את המכשיר שנפרץ לכלי ריגול.

טקטיקות הפצה מטעות

גרסאות ה-DCHSpy האחרונות מופצות תחת מסווה של שירותי VPN פופולריים, כולל:

• VPN של כדור הארץ (com.earth.earth_vpn)
• Comodo VPN (com.comodoapp.comodovpn)
• הסתר VPN (com.hv.hide_vpn)

דוגמה בולטת היא דוגמת ה-VPN של Earth, אשר נמצאה במחזור כקובץ APK בשם 'starlink_vpn(1.3.0)-3012 (1).apk', דבר המצביע על כך שתוקפים משתמשים בתבניות הקשורות ל-Starlink כפיתיונים.

התזמון הוא אסטרטגי, שכן שירות האינטרנט של סטארלינק הושק באיראן ביוני 2025 במהלך הפסקת אינטרנט שהוטלה על ידי הממשלה. עם זאת, השירות הוצא מחוץ לחוק שבועות לאחר מכן על ידי הפרלמנט האיראני עקב פעילות בלתי מורשית, מה שהפך אותו לפיתוי אטרקטיבי עבור אנשים ספציפיים המחפשים קישוריות בלתי מוגבלת.

קשרים לקמפיינים קודמים

DCHSpy חולקת את התשתית שלה עם SandStrike, תוכנת ריגול נוספת לאנדרואיד שסומנה בנובמבר 2022 כמיועד לדוברי פרסית באמצעות יישומי VPN מזויפים. בדומה ל-SandStrike, DCHSpy מופץ באמצעות כתובות URL זדוניות המשותפות ישירות דרך אפליקציות מסרים כמו טלגרם.

תגלית חדשה זו מוסיפה את DCHSpy לרשימה הולכת וגדלה של קמפיינים של תוכנות ריגול המכוונות נגד מטרות במזרח התיכון, שכבר כוללת את AridSpy, BouldSpy, GuardZoo, RatMilad ו-SpyNote.

הסלמה על רקע סכסוכים אזוריים

תחייתה של DCHSpy משקפת השקעה מתמשכת בפעולות ריגול על ידי גורמים הנתמכים על ידי איראן. פריסתה עולה בקנה אחד עם מאמצי איראן להדק את השליטה במידע ולנטר מתנגדי משטר, במיוחד לאחר הפסקת האש האחרונה עם ישראל. ההתפתחות המתמשכת של תוכנות זדוניות כאלה מדגישה את אופיין המתפתח של איומים דיגיטליים באזור.