TELESHIM lạm dụng Telegram làm kênh C2 trong chiến dịch tấn công chính phủ Trung Đông
"Researchers reported a multi-stage intrusion campaign against government entities in the Middle East that deployed previously unreported malware families TELESHIM, MIXEDKEY, and BINDCLOAK. The attack used DLL sideloading, Telegram API-based command-and-control, heavy obfuscation, and environmental keying to evade analysis and selectively execute payloads; no CVE was mentioned and no vendor fix was described."
Chiến dịch cho thấy mức độ tinh vi cao trong EDR evasion và C2 qua Telegram, kết hợp DLL sideloading và environmental keying khiến việc phân tích/khắc phục khó hơn. Tác động chính nằm ở khả năng duy trì truy cập và phân phối payload theo lịch.
Nhắm vào cơ quan chính phủ có thể dẫn tới gián đoạn dịch vụ và rủi ro rò rỉ dữ liệu thông qua cơ chế exfiltration theo từng phần. Ảnh hưởng vận hành phụ thuộc vào mức độ phát hiện sớm và khả năng khoanh vùng khi payload được triển khai theo khung giờ UTC.
Các nhà nghiên cứu ghi nhận một chiến dịch xâm nhập nhiều giai đoạn nhắm tới các thực thể chính phủ ở Trung Đông, do một tác nhân có liên hệ Đông Á thực hiện. Theo Zscaler ThreatLabz, chiến dịch đã triển khai các họ mã độc TELESHIM, MIXEDKEY và BINDCLOAK (đều được mô tả là chưa từng công bố trước đó).
Chuỗi tấn công bắt đầu từ một tệp ISO chứa chương trình hợp lệ RegSchdTask.exe, sau đó dùng kỹ thuật DLL sideloading để nạp DLL giả mạo AsTaskSched.dll. Backdoor 32-bit TELESHIM tiếp theo lạm dụng Telegram API cho liên lạc command-and-control (C2) nhằm hòa vào lưu lượng Internet hợp pháp. Một lớp tải trọng khác kích hoạt chuỗi sideload DLL thứ hai với GoProAlertService.exe và pthreadVC2.dll, trong đó MIXEDKEY đóng vai trò reflective loader để giải mã nội dung C99F29AC08454855B3D538960BB2F34F.PCPKEY.
Mã độc sử dụng obfuscation nặng (ví dụ string encryption, control flow flattening (CFF), MBA, opaque predicates) và kiểm tra môi trường phân tích qua CPUID và WMI. Dữ liệu tải cuối được khóa bởi 2 lớp XOR và environmental keying dựa trên volume serial number. Cuối cùng, BINDCLOAK (C++ 64-bit) liên hệ máy chủ ngoài cert.hypersnet[.]com và thực hiện trinh sát hệ thống/mạng trước khi phân phối giai đoạn tiếp theo. Khuyến nghị: tăng giám sát Telegram API traffic, rà soát dấu hiệu sideloading và các chuỗi giải mã theo XOR/environmental keying, đồng thời siết cấu hình EDR để phát hiện hành vi trinh sát và tạo tác vụ theo lịch.