Handala / Void Manticore: dwa oblicza irańskich operacji cybernetycznych

11 marca 2026 roku amerykański producent technologii medycznych Stryker doświadczył jednego z najpoważniejszych incydentów cyberbezpieczeństwa w swojej historii.

Handala Hack Team ogłosiła przeprowadzenie operacji obejmującej ponad 200 tysięcy urządzeń, serwerów i telefonów w 79 krajach. Według grupy przed rozpoczęciem destrukcji przejęto również około 50 TB danych.

Kilka dni później BleepingComputer opublikował informacje pochodzące od źródła znającego szczegóły incydentu - wynikało z nich, że za pośrednictwem Microsoft Intune wydano polecenia zdalnego wymazania danych na blisko 80 tysiącach urządzeń.

Pod koniec kwietnia prezes Strykera Kevin Lobo mówił z kolei o około 40 tysiącach wyczyszczonych laptopów. wspominał takżę o telefonach i innych komputerach dotkniętych incydentem.

Trzy różne liczby, trzy różne perspektywy. Co istotne, nie muszą one wzajemnie się wykluczać, bo różnica może wynikać z zakresu raportowanych urządzeń, sposobu liczenia operacji lub momentu przeprowadzenia analizy.

Jeszcze ciekawsza okazała się techniczna strona ataku - do masowego usuwania danych wykorzystano legalną funkcję platformy Microsoft Intune - w ten sposób mechanizm służący do administracji urządzeniami został wykorzystany jako narzędzie destrukcji.

To jednak tylko jedna część działalności Handali. 17 września 2026 roku badacze Group-IB opublikowali szczegółową analizę HEAVYGRAM, backdoora wykorzystującego komunikator Telegram do komunikacji z operatorami. Narzędzie służyło do inwigilacji dysydentów, dziennikarzy i generalnie osób sprzeciwiających się irańskim władzom.

W przeciwieństwie do wiperów HEAVYGRAM nie został zaprojektowany by masowo niszczyć dane, jego zadaniem było pozostanie na urządzeniu, zbieranie informacji i zapewnienie operatorowi długotrwałego dostępu. Te dwie linie działalności pokazują, że ekosystem zagrożeń związanych z Handalą jest znacznie bardziej złożony niż obraz grupy zajmującej się wyłącznie haktywizmem.

Handala i Void Manticore: tożsamość oraz atrybucja

Handala Hack Team wykorzystuje nazwę i wizerunek postaci stworzonej przez palestyńskiego rysownika Nadżiego al-Alego. Grupa przedstawia swoją działalność jako formę cybernetycznego oporu przeciwko Izraelowi i jego sojusznikom.

Według Check Point Research publiczna persona Handala jest związana z klastrem Void Manticore, znanym również jako Red Sandstorm i Banished Kitten. Microsoft śledzi powiązaną aktywność pod nazwą Storm-0842.

MITRE ATT&CK klasyfikuje Void Manticore jako G1055. Badacze oraz amerykańskie organy ścigania wskazują na powiązania tego klastra z irańskim Ministerstwem Wywiadu i Bezpieczeństwa (MOIS).

Atrybucja opiera się między innymi na wspólnych technikach, podobieństwach kodu malware, wykorzystywanej infrastrukturze i relacjach pomiędzy kolejnymi publicznymi personami.

Homeland Justice, Karma i Handala

Działalność przypisywana Void Manticore sięga przynajmniej roku 2022. Pod nazwą Homeland Justice prowadzono wówczas operacje wymierzone w albańską administrację państwową. Wcześniejsza infiltracja obejmowała między innymi wykorzystanie podatności CVE-2019-0604 w Microsoft SharePoint.

Atakujący utrzymywali dostęp do infrastruktury, prowadzili rozpoznanie i pozyskiwali dane, zanim rozpoczęli działania destrukcyjne. W kolejnych operacjach przeciwko izraelskim celom pojawiła się persona Karma, występująca również jako Karmabelow80. Pod koniec 2023 roku na pierwszy plan wysunęła się Handala. Check Point wykazał podobieństwa operacyjne pomiędzy tymi personami, w tym zbieżności w kodzie wykorzystywanych wiperów.

Współpraca ze Scarred Manticore

Istotnym elementem działalności przypisywanej Void Manticore jest współpraca ze Scarred Manticore, znanym także jako Storm-0861. W części udokumentowanych incydentów Scarred Manticore zajmował się początkowym dostępem i długotrwałą infiltracją środowiska - wykorzystywał między innymi narzędzia Liontail i Foxshell, umożliwiające utrzymywanie dostępu i pozyskiwanie informacji.

Po przygotowaniu środowiska dostęp był przekazywany operatorom odpowiedzialnym za działania destrukcyjne. Ten model, określany jako operational handoff, pozwala rozdzielić fazę wywiadowczą od fazy bezpośredniego oddziaływania na infrastrukturę. Nie należy jednak zakładać, że każda operacja Handali przebiega według identycznego schematu.

Dwie linie operacyjne: destrukcja i inwigilacja

Działalność łączoną z Handalą można podzielić na dwa podstawowe profile operacyjne.

Linia destrukcyjna

Jej celami są organizacje, instytucje państwowe, przedsiębiorstwa technologiczne i infrastruktura o znaczeniu strategicznym. Obserwowane metody obejmują:

• przejmowanie kont VPN i kont uprzywilejowanych

• ruch boczny z wykorzystaniem RDP

• uzyskiwanie uprawnień Domain Admin

• wdrażanie wiperów via GPO

• niszczenie danych na poziomie systemu plików i struktur dyskowych

• wykorzystywanie Microsoft Intune do zdalnego usuwania danych

• kradzież dokumentów i ich publiczne ujawnianie

Linia wywiadowczo-inwigilacyjna

Koncentruje się na konkretnych osobach, ich urządzeniach i komunikacji. Stosowane są tu inne metody - socjotechnika, fałszywe aplikacje, przejmowanie sesji komunikatorów oraz utrzymywanie dostępu przez backdoory.

HEAVYGRAM jest przykładem tego drugiego profilu. Group-IB przypisał malware do Handali z umiarkowaną pewnością, wskazując na powiązania infrastrukturalne, podobieństwo technik i informacje ujawnione w dokumentach amerykańskiego śledztwa.

Brytyjskie NCSC, FBI i holenderskie AIVD opisały również rodzinę CHOSEN BRICK, wykorzystywaną przez irańskich operatorów do inwigilacji wskazanych osób. Oba zestawy analiz pokazują podobny kierunek działalności, ale same podobieństwa funkcjonalne nie wystarczają do stwierdzenia, że HEAVYGRAM i CHOSEN BRICK to dokładnie ten sam malware. Rozróżnienie to jest istotne - wipery i backdoory inwigilacyjne mają inne cele, inne mechanizmy działania i pozostawiają odmienne ślady w systemach.

Początkowy dostęp i przemieszczanie się po infrastrukturze

W operacjach przypisywanych Handali powtarzają się stosunkowo dobrze znane techniki. Jednym z podstawowych sposobów uzyskiwania dostępu jest wykorzystanie przejętych poświadczeń VPN. Check Point udokumentował liczne próby logowania do infrastruktury zdalnego dostępu, w tym ataki brute-force. Ruch pochodził między innymi z komercyjnych węzłów VPN, adresów Starlink i bezpośrednio z irańskich zakresów IP.

Drugim istotnym wektorem pozostaje phishing - operatorzy podszywali się między innymi pod komunikaty dotyczące aktualizacji bezpieczeństwa F5 BIG-IP oraz izraelskie instytucje zajmujące się cyberbezpieczeństwem.

W części kampanii wykorzystywano komercyjny infostealer Rhadamanthys. Po uzyskaniu dostępu następowało rozpoznanie Active Directory, poszukiwanie kont uprzywilejowanych i przemieszczanie się między komputerami. W analizowanych operacjach zaobserwowano wykorzystanie ADRecon, RDP, PowerShell, WMIC i narzędzi służących do pozyskiwania poświadczeń.

NetBird

Check Point opisał również wykorzystanie NetBird, legalnego narzędzia open-source przeznaczonego do tworzenia prywatnych sieci typu mesh VPN. Operatorzy instalowali je na przejętych hostach, uzyskując w ten sposób dodatkowe kanały komunikacyjne. W jednej z obserwowanych operacji wykorzystywano co najmniej pięć maszyn kontrolowanych przez napastników. NetBird sam w sobie nie jest malware aczkolwiek w takim scenariuszu staje się jednak elementem infrastruktury zapewniającej dostęp do przejętego środowiska.

Techniczna analiza wiperów

Handala Wiper

Check Point w marcu 2026 roku opisał dedykowany wiper dla Windows, dystrybuowany przez Group Policy. Do uruchamiania wykorzystywano skrypty logowania i zadania harmonogramu.

Plik wykonywalny mógł być uruchamiany bezpośrednio z kontrolera domeny, bez zapisywania go na każdej zaatakowanej stacji. Malware nadpisywało dane i ingerowało w strukturę MBR, utrudniając dostęp do zawartości dysku. Atakujący wykorzystywali także dodatkowy skrypt PowerShell.

PowerShell Wiper i Handala_$i.gif

Jednym z ciekawszych elementów operacji był skrypt PowerShell, który oprócz usuwania plików użytkowników wykonywał operację wypełniania wolnego miejsca na dysku. Zgodnie z analizą Check Point skrypt pobierał wskazany plik z lokalizacji sieciowej w SYSVOL, występujący pod nazwą handala.rar. Następnie kopiował go wielokrotnie do katalogu C:\Users, nadając kolejnym kopiom nazwy Handala_0.gif, Handala_1.gif i następne.

Pętla działała tak długo, jak długo dostępne miejsce pozwalało na utworzenie następnej kopii. Sam fakt używania rozszerzenia .gif nie oznacza, że powstawały prawidłowe pliki graficzne. Mechanizm polegał na kopiowaniu zawartości wskazanego pliku i zapisywaniu jej pod nowymi nazwami.

W praktyce dodatkowo utrudniało to odzyskiwanie systemu, ponieważ oprócz usuwania istniejących danych atakujący doprowadzali do zajmowania wolnej przestrzeni. Check Point wskazał, że struktura skryptu i sposób komentowania kodu sugerują wykorzystanie AI podczas jego przygotowania.

Hatef Wiper

Hatef został szczegółowo opisany przez Intezer podczas analizy operacji HamsaUpdate. Był przeznaczony dla systemów Windows i usuwał dane z krytycznych katalogów, takich jak Windows, Users i Program Files. Malware komunikowało się również przez Telegrama, raportując operatorom informacje o komputerze, postępie wykonywania operacji i plikach, których nie udało się usunąć.

Hamsa Wiper

Hamsa był linuksowym komponentem tej samej kampanii. Narzędzie podszywało się pod aktualizację oprogramowania i wykorzystywało kodowane skrypty. Po uruchomieniu następowało opóźnienie, rozpoznanie systemu i rozpoczęcie destrukcji. Działania obejmowały usuwanie plików, kont użytkowników i ingerowanie w informacje o partycjach. Telegram służył również do raportowania przebiegu operacji.

BiBi Wiper

BiBi występuje w wariantach dla Linux i Windows. Wykorzystuje wielowątkowe operacje nadpisywania danych. W analizowanym wariancie linuksowym wykluczano pliki z rozszerzeniami .so i .out. Z kolei opisany wariant windowsowy pomijał pliki .exe, .dll i .sys.

Jest to interesujący szczegół techniczny. Wiper nie musi niszczyć absolutnie wszystkich plików, aby skutecznie uniemożliwić korzystanie z systemu. Pozostawianie wybranych kategorii plików może również ograniczać ryzyko przedwczesnego zakłócenia działania samego malware.

Cl Wiper i LowEraser

Cl Wiper, opisywany w kontekście ataków na Albanię, wykorzystywał między innymi sterownik RawDisk do wykonywania operacji na niskim poziomie. LowEraser i powiązane narzędzia ingerowały w strukturę partycji. Takie działania mogą pozbawić system operacyjny dostępu do danych nawet wtedy, gdy część ich zawartości fizycznie pozostaje na nośniku.

Warto odróżniać niszczenie danych na poziomie plików od uszkadzania MBR lub GPT. Obie techniki mogą prowadzić do poważnych zakłóceń, ale ich skutki i możliwości odzyskiwania informacji nie są identyczne.

HEAVYGRAM i CRUDEEXCLUDE: infiltracja zamiast destrukcji

We wrześniu 2026 roku Group-IB opublikował analizę 29 nowych próbek związanych z HEAVYGRAM i CRUDEEXCLUDE. CRUDEEXCLUDE jest komponentem napisanym w Delphi, który w badanych wariantach podszywał się pod legalne aplikacje.

Jego zadaniem było między innymi przygotowywanie katalogów stagingowych i dodawanie wykluczeń Microsoft Defender. HEAVYGRAM był natomiast właściwym backdoorem, wykorzystującym Pythona i Telegram Bot API.

Zidentyfikowane możliwości obejmowały wykonywanie poleceń, zrzuty ekranu, pobieranie plików, utrzymywanie dostępu i pozyskiwanie danych Telegram Desktop. Komunikaty sterujące wykorzystywały charakterystyczne prefiksy @@, ** i ##.

W zależności od prefiksu malware wykonywało polecenie systemowe, zapisywało dane do pliku albo uruchamiało jedną z wbudowanych funkcji. W kodzie udokumentowano między innymi komendy runexe, whois, runtro, regtro, reg, dt i cht. Backdoor wykorzystywał również mechanizm heartbeat, pozwalający okresowo potwierdzać aktywność przejętego komputera.

Charakter operacji inwigilacyjnych

HEAVYGRAM nie jest odpowiednikiem Handala Wiper. Jego zadaniem nie jest masowe kasowanie danych ani unieruchamianie infrastruktury przedsiębiorstwa. To implant do długotrwałego pozyskiwania informacji. Szczególnie niebezpieczna jest możliwość wykradania danych sesji Telegram Desktop, ponieważ przejęcie istniejącej sesji może umożliwiać dostęp do komunikacji bez ponownego uwierzytelnienia w sposób typowy dla zwykłego logowania.

W operacjach wymierzonych w dziennikarzy i dysydentów takie możliwości mają szczególną wartość wywiadowczą. Pozyskane informacje mogą ujawniać nie tylko aktywność konkretnej osoby, lecz również jej kontakty i relacje.

Najważniejsze operacje Handali

Silicom

W listopadzie 2024 roku Handala poinformowała o przejęciu około 40 TB danych izraelskiej firmy Silicom. Grupa publikowała takżę materiały związane z dostępem do środowiska VMware vCenter. W kolejnych komunikatach opisywała dalsze operacje destrukcyjne, w tym zniszczenie około 300 hostów.

Vidisco i IIB

19 września 2024 roku Handala poinformowała o operacji przeciwko Vidisco i Israeli Industrial Batteries. Według grupy uzyskano około 14 TB danych. W publikacjach Handali pojawiły się także informacje dotyczące rzekomych backdoorów w systemach kontroli rentgenowskiej. Kevin Beaumont potwierdził rzeczywiste naruszenie bezpieczeństwa Vidisco. Nie rozstrzyga to jednak automatycznie wszystkich szczegółów dotyczących urządzeń rentgenowskich.

Soreq Nuclear Research Center

Handala ogłosiła pozyskanie około 197 GB danych związanych z izraelskim ośrodkiem badawczym Soreq. Wartość tego rodzaju informacji może wykraczać poza ich rozmiar, szczególnie jeżeli obejmują dokumentację techniczną, korespondencję i informacje o współpracujących instytucjach.

SSV Blockchain Network

Handala opisała kilkumiesięczną operację dotyczącą SSV Blockchain Network. Według grupy pozyskano około 8 TB danych, a część materiałów opublikowano jako dowód uzyskanego dostępu.

Zerto

W przypadku Zerto Handala ogłosiła przejęcie około 51 TB danych. Dostawcy technologii disaster recovery są interesującym celem ze względu na posiadaną wiedzę o infrastrukturze klientów, konfiguracji systemów i mechanizmach odtwarzania środowisk.

Stryker: trzy liczby, których nie należy ze sobą utożsamiać

Atak na Strykera pozostaje jednym z najważniejszych przykładów wykorzystania legalnej platformy administracyjnej do przeprowadzenia destrukcyjnej operacji. Publicznie przedstawiono trzy istotne wartości:

BleepingComputer podał, że operacje zdalnego wymazywania urządzeń wykonywano 11 marca pomiędzy 05:00 a 08:00 UTC. Według źródła serwisu napastnicy najpierw przejęli konto administracyjne, a następnie utworzyli nowe konto z uprawnieniami Global Administrator.

Za jego pośrednictwem wykorzystano Microsoft Intune do wykonywania masowych operacji wipe. Raport Cloud Security Alliance z 21 marca 2026 roku przywołuje liczbę około 80 tys. urządzeń na podstawie wcześniejszych doniesień.

Należy jednak zaznaczyć, że był to materiał przygotowany z wykorzystaniem AI, bez formalnej recenzji CSA. Nie stanowi odrębnego potwierdzenia tej liczby. Ponadto dokument powstał przed późniejszym potwierdzeniem przez Strykera obecności złośliwego pliku wykorzystywanego podczas włamania.

Dlatego wartość około 80 tys. urządzeń należy wiązać przede wszystkim z informacjami uzyskanymi przez BleepingComputer - nie ma podstaw, aby samą rozbieżność liczbową traktować jako dowód fałszywości deklaracji Handali.

Do oceny skali potrzebne byłyby porównywalne dane obejmujące wykonane polecenia, urządzenia, które faktycznie je zrealizowały, oraz wszystkie systemy objęte pozostałymi działaniami destrukcyjnymi.

Eksfiltracja 50 TB danych i możliwe cele wywiadowcze

Handala poinformowała, że przed destrukcją przejęto około 50 TB danych Strykera. Nie ujawniono publicznie kompletnej dokumentacji pozwalającej odtworzyć zakres i sposób wykorzystania tego zbioru. Nie oznacza to, że dane nie zostały przejęte. W przypadku operacji łączących destrukcję z wywiadem kradzież informacji może stanowić równie ważny cel jak zakłócenie funkcjonowania organizacji.

Jeżeli deklarowany zbiór obejmuje dokumentację techniczną, informacje o produktach, umowach, dostawcach i procesach logistycznych, może mieć wartość wywiadowczą długo po zakończeniu ataku.

Jednym z możliwych scenariuszy jest więc zachowanie danych na potrzeby późniejszej analizy i kolejnych operacji. Jest to jednak ocena potencjalnego wykorzystania pozyskanych informacji, a nie ustalenie, że określona instytucja faktycznie otrzymała lub przeanalizowała dane Strykera.

Kash Patel: kompromitacja prywatnej poczty dyrektora FBI

27 marca 2026 roku Handala opublikowała dane związane z prywatną skrzynką pocztową dyrektora FBI Kasha Patela. Wśród ujawnionych materiałów znajdowały się fotografie, dokumenty i fragmenty korespondencji.

Amerykańskie władze potwierdziły naruszenie bezpieczeństwa prywatnej poczty oraz autentyczność części opublikowanych materiałów. FBI informowało, że dane miały charakter historyczny i nie obejmowały informacji rządowych. Analiza ujawnionej korespondencji wskazywała na wiadomości pochodzące głównie z lat od 2010 do 2019.

Świeża kompromitacja czy starszy wyciek?

Cynthia Kaiser, była przedstawicielka FBI, zasugerowała w wypowiedzi dla BBC, że część materiałów mogła pochodzić z wcześniejszej kompromitacji i zostać ponownie wykorzystana. Scenariusz ten określa się jako recycled breach. Wiek wiadomości nie jest jednak wystarczającym dowodem czasu przeprowadzenia włamania.

Możliwe jest zarówno uzyskanie dostępu do starszej korespondencji podczas nowego ataku, jak i wykorzystanie danych przejętych wcześniej. Publiczne materiały nie pozwalają jednoznacznie rozstrzygnąć tej kwestii. Niezależnie od momentu pierwotnej kompromitacji Handala uzyskała możliwość opublikowania autentycznych prywatnych informacji osoby stojącej na czele FBI.

Dla analityków OPSEC jest to istotne przypomnienie, że archiwalne dane i prywatne konta mogą pozostawać wartościowym celem nawet wiele lat po zakończeniu korespondencji.

SOC i Intune: konkretna detekcja masowych operacji wipe

Atak na Strykera powinien zmienić sposób traktowania telemetrii platform UEM. Zdalne wymazanie urządzenia jest legalną funkcją administracyjną. Nie oznacza to jednak, że wykonanie tej samej operacji na dziesiątkach lub setkach urządzeń w krótkim czasie powinno pozostawać bez reakcji SOC.

Microsoft Intune udostępnia audyt operacji administracyjnych, w tym zdalnych akcji na urządzeniach. Dane mogą być przekazywane do Azure Monitor, Log Analytics i Microsoft Sentinel. W środowiskach wykorzystujących tę integrację podstawowym źródłem informacji jest tabela IntuneAuditLogs.

Szczególnie ważne pola to:

• TimeGenerated - czas wykonania zdarzenia

• Identity - tożsamość inicjująca operację

• OperationName - nazwa operacji

• Properties - dodatkowe szczegóły, w tym informacje o obiektach docelowych

• ResultType - rezultat operacji

Reguła detekcyjna powinna analizować liczbę poleceń wipe wykonanych przez jedną tożsamość w określonym przedziale czasu.

Przykładowym warunkiem alarmowym może być pięć lub więcej takich operacji w ciągu 15 minut. Jest to próg przykładowy, wymagający dostosowania do skali organizacji i legalnej aktywności administratorów.

Ważne jest także monitorowanie kont, które wcześniej nie wykonywały podobnych operacji, oraz przypadków, gdy masowe działania następują bezpośrednio po zmianie przypisanych ról administracyjnych.

Dodatkowo warto wykorzystywać raport Devices > Monitor > Device actions, umożliwiający kontrolę zlecanych działań i ich statusu. CISA zaleca natomiast ograniczenie uprawnień administratorów, stosowanie MFA odpornego na phishing oraz wdrożenie Multi Admin Approval dla operacji o wysokim wpływie.

Dzięki Multi Admin Approval wykonanie wybranych wrażliwych działań wymaga zgody drugiego uprawnionego administratora. To jeden z najważniejszych mechanizmów ograniczających ryzyko masowego nadużycia funkcji zarządzania urządzeniami.

Pozostałe rekomendacje techniczne

W przypadku operacji przypisywanych Handali warto szczególnie monitorować:

• nieautoryzowane zmiany GPO

• masowe tworzenie zadań harmonogramu

• podejrzane logowania RDP

• instalacje niezatwierdzonych narzędzi tunelujących

• nietypowe zmiany wykluczeń Microsoft Defender

• procesy uruchamiane z katalogów stagingowych

• podejrzaną komunikację z Telegram Bot API

• próby pozyskiwania poświadczeń z pamięci systemowej

• działania administracyjne prowadzące do masowego usuwania danych.

Niezbędne są również odizolowane kopie zapasowe, mechanizmy niezmienności danych i regularne testy odtwarzania infrastruktury.

Wnioski

Handala jest przykładem działalności cybernetycznej, w której narzędzia techniczne służą różnym celom operacyjnym. Wipery umożliwiają niszczenie infrastruktury i zakłócanie działalności przedsiębiorstw. Przejęte konta administracyjne pozwalają wykorzystać legalne platformy zarządzania przeciwko ich właścicielom.

Backdoory takie jak HEAVYGRAM umożliwiają natomiast długotrwałe zbieranie informacji o konkretnych osobach. Do tego dochodzą operacje publikowania przejętych dokumentów, oddziaływanie na opinię publiczną i wykorzystywanie informacji do wywierania presji. Współczesny atak nie musi kończyć się na zaszyfrowaniu plików albo usunięciu danych.

Może obejmować jednocześnie zniszczenie infrastruktury, kradzież informacji i późniejsze wykorzystanie ich w działaniach wywiadowczych lub informacyjnych. Historia Strykera pokazuje również, że centralne platformy zarządzania urządzeniami wymagają zabezpieczeń porównywalnych z ochroną kontrolerów domeny i innych systemów krytycznych.

Z kolei HEAVYGRAM przypomina, że kompromitacja prywatnego komputera albo konta komunikatora może mieć równie poważne konsekwencje jak włamanie do infrastruktury przedsiębiorstwa. Najważniejszą lekcją z działalności Handali jest to, że zdolność do niszczenia, pozyskiwania i wykorzystywania danych może opierać się na tych samych przejętych tożsamościach i kanałach dostępu.

Źródła

1. Check Point Research - Handala Hack: Unveiling Group's Modus Operandi

2. Check Point Research - Bad Karma, No Justice: Void Manticore Destructive Activities in Israel

3. Group-IB - HEAVYGRAM: A Telegram-based Surveillance Backdoor Linked to Handala Hack

4. MITRE ATT&CK - VOID MANTICORE, G1055

5. NCSC - Iranian cyber targeting of dissidents, activists and journalists

6. BleepingComputer - Stryker attack wiped tens of thousands of devices

7. Cloud Security Alliance - The Stryker Wiper: When UEM Becomes a Weapon

8. Stryker - SEC Form 8-K, 23 marca 2026

9. Stryker - telekonferencja wynikowa, 30 kwietnia 2026

10. CISA - Endpoint management system hardening

11. Microsoft - Use audit logs to track events in Intune

12. Microsoft - Intune Device actions report

13. Trend Micro - Ransom.Linux.BIBI.A

14. WIRED - Iranian Hackers Breached Kash Patel's Email

15. The Record - FBI confirms theft of director's personal emails