Perisian Hasad Mudah Alih DCHSpy

Penyelidik keselamatan siber baru-baru ini telah menemui gelombang baharu artifak perisian pengintip Android, dipercayai dikaitkan dengan Kementerian Perisikan dan Keselamatan Iran (MOIS). Perisian pengintip, yang dikenali sebagai DCHSpy, diedarkan dengan menyamar sebagai perkhidmatan VPN yang sah dan juga sebagai Starlink, perkhidmatan internet satelit yang dikendalikan oleh SpaceX. Kempen ini bertepatan dengan ketegangan yang memuncak berikutan konflik Israel-Iran pada Jun 2025.

Kemunculan DCHSpy

Penyelidik mula-mula mengesan DCHSpy pada Julai 2024. Alat ini dikaitkan dengan MuddyWater, kumpulan penggodaman Iran yang disokong kerajaan yang beroperasi di bawah pelbagai alias, termasuk Boggy Serpens, Cobalt Ulster, Earth Vetala, ITG17, Mango Sandstorm (dahulu Mercury), Seedworm, Static Kitten, TA450 dan Yellow Nix.

Versi awal DCHSpy dikenal pasti menyasarkan penutur bahasa Inggeris dan Farsi melalui saluran Telegram, menggunakan tema yang kritikal terhadap rejim Iran. Penyerang memberi tumpuan terutamanya kepada penentang, wartawan dan aktivis dengan memikat mereka dengan perkhidmatan VPN yang kelihatan boleh dipercayai.

Keupayaan Teknikal DCHSpy

DCHSpy ialah trojan modular yang direka untuk menuai data sensitif daripada peranti yang dijangkiti. Keupayaannya termasuk:

• Mengumpul data WhatsApp, kenalan, mesej SMS dan log panggilan
• Mengeluarkan akaun yang dilog masuk ke peranti
• Mengakses fail dan data lokasi
• Merakam audio ambien dan merakam foto

Malware ini juga mampu mengekalkan pengawasan berterusan ke atas mangsa, dengan berkesan mengubah peranti yang terjejas menjadi alat pengintipan.

Taktik Pengedaran Menipu

Varian DCHSpy terkini disebarkan di bawah nama perkhidmatan VPN yang popular, termasuk:

• VPN Bumi (com.earth.earth_vpn)
• Comodo VPN (com.comodoapp.comodovpn)
• Sembunyikan VPN (com.hv.hide_vpn)

Contoh ketara ialah sampel Earth VPN, yang didapati beredar sebagai APK bernama 'starlink_vpn(1.3.0)-3012 (1).apk', yang menunjukkan bahawa penyerang menggunakan tema berkaitan Starlink sebagai gewang.

Masanya adalah strategik, kerana perkhidmatan internet Starlink telah dilancarkan di Iran pada Jun 2025 semasa pemadaman internet yang dikenakan kerajaan. Bagaimanapun, perkhidmatan itu telah diharamkan beberapa minggu kemudian oleh parlimen Iran kerana operasi yang tidak dibenarkan, menjadikannya tarikan menarik bagi individu yang disasarkan yang mencari sambungan tanpa had.

Sambungan ke Kempen Sebelumnya

DCHSpy berkongsi infrastrukturnya dengan SandStrike, satu lagi perisian pengintip Android yang dibenderakan pada November 2022 untuk menyasarkan pembesar suara Parsi melalui aplikasi VPN palsu. Seperti SandStrike, DCHSpy diedarkan menggunakan URL berniat jahat yang dikongsi terus melalui aplikasi pemesejan seperti Telegram.

Penemuan baharu ini menambahkan DCHSpy kepada senarai kempen perisian pengintip yang semakin meningkat yang bertujuan untuk sasaran Timur Tengah, yang sudah termasuk AridSpy, BouldSpy, GuardZoo, RatMilad dan SpyNote.

Peningkatan Di Tengah Konflik Serantau

Kebangkitan semula DCHSpy mencerminkan pelaburan berterusan dalam operasi pengintipan oleh pelakon yang disokong Iran. Pengerahannya sejajar dengan usaha Iran untuk mengetatkan kawalan ke atas maklumat dan memantau penentang, terutamanya berikutan gencatan senjata dengan Israel baru-baru ini. Pembangunan berterusan perisian hasad sedemikian menyerlahkan sifat ancaman digital yang berkembang di rantau ini.