TELESHIM از تلگرام برای فرماندهی و کنترل در حملات علیه دولت‌های خاورمیانه سوءاستفاده می‌کند

محققان امنیت سایبری شرکت Zscaler ThreatLabz یک کمپین مخرب جدید را شناسایی کرده‌اند که توسط یک عامل تهدید با پیوندهای آسیای شرقی علیه نهادهای دولتی در خاورمیانه انجام می‌شود. این حملات منجر به استقرار سه خانواده بدافزاری (malware) جدید و پیش‌تر ناشناخته با نام‌های TELESHIM، MIXEDKEY و BINDCLOAK شده است. بر اساس گزارش این شرکت، TELESHIM از طریق سوءاستفاده از رابط برنامه‌نویسی تلگرام (Telegram API) برای ارتباطات فرمان و کنترل (C2) عمل می‌کند تا ترافیک مخرب خود را در میان ترافیک عادی اینترنت پنهان سازد. زنجیره حمله با یک فایل ISO آغاز می‌شود و در نهایت به استقرار BINDCLOAK، یک ایمپلنت ۶۴ بیتی نوشته‌شده به زبان ++C، ختم می‌گردد.

این کمپین از تکنیک‌های پیشرفته‌ای نظیر رمزنگاری رشته‌ها، تسطیح جریان کنترل (control flow flattening)، و کلیدسازی محیطی (environmental keying) برای جلوگیری از مهندسی معکوس و اطمینان از اجرای بدافزار تنها روی اهداف مورد نظر بهره می‌برد. بر اساس تحلیل آدرس IP عامل تهدید، تنظیمات منطقه‌ای سرور ویندوز و ساعات فعالیت عملیاتی (عمدتاً بین ۷ تا ۱۱ صبح به وقت UTC)، محققان با اطمینان متوسط تا بالا این کمپین را به یک عامل تهدید با منشأ آسیای شرقی نسبت می‌دهند، هرچند تاکنون به هیچ گروه شناخته‌شده‌ای منتسب نشده است.