TELESHIM colpisce i governi del Medio Oriente tramite Telegram

🛡️ Executive Summary

• Un file ISO avvia una catena di DLL sideloading che installa TELESHIM e mantiene la persistenza attraverso attività pianificate.
• TELESHIM usa l’API di Telegram per ricevere comandi, scaricare file ed esfiltrare i risultati confondendosi con traffico legittimo.
• MIXEDKEY decifra BINDCLOAK con una chiave derivata dal disco della vittima, limitando l’esecuzione ai sistemi selezionati dagli attaccanti.

Un attore non ancora associato a un gruppo APT conosciuto ha colpito enti governativi del Medio Oriente attraverso una catena multistadio costruita per eludere l’analisi e mantenere un accesso persistente ai sistemi Windows. La campagna, osservata nel luglio 2026 da Zscaler ThreatLabz, distribuisce tre strumenti inediti denominati TELESHIM, MIXEDKEY e BINDCLOAK. Il primo impianto utilizza l’API di Telegram come canale di comando e controllo, mentre i componenti successivi applicano tecniche di offuscamento e environmental keying per impedire l’esecuzione fuori dal computer designato. Gli elementi disponibili collegano l’operatore all’Asia orientale con confidenza medio-alta, ma non consentono ancora un’attribuzione a uno Stato o a una specifica organizzazione.

Un documento sull’energia nasconde la catena iniziale

L’attacco parte da un archivio ZIP denominato come un protocollo di cooperazione per l’esplorazione di petrolio e gas, un’esca coerente con le funzioni amministrative e diplomatiche delle organizzazioni bersaglio. All’interno compare un’immagine ISO contenente RegSchdTask.exe, applicazione legittima firmata da ASUSTek, affiancata dalla DLL malevola AsTaskSched.dll. Quando la vittima avvia l’eseguibile, Windows carica la libreria presente nella stessa directory e attiva il malware attraverso una tecnica di DLL sideloading. Il metodo consente al codice ostile di operare nel contesto di un programma apparentemente affidabile, riducendo la visibilità per i sistemi che attribuiscono maggiore reputazione ai binari firmati. TELESHIM installa inoltre un hook in un offset preciso dell’eseguibile host, segnale che gli operatori hanno analizzato preventivamente il programma per individuare una fase iniziale adatta a deviare il flusso verso il proprio payload. La dinamica riprende le tecniche già osservate nelle campagne mirate che sfruttano applicazioni legittime e DLL sideloading per distribuire RAT, dove la fiducia nel software originale diventa parte integrante dell’evasione.

TELESHIM ostacola sandbox e reverse engineering

TELESHIM è una DLL Windows a 32 bit scritta in C++ e utilizzata come primo accesso operativo. La variante individuata nella campagna risale al luglio 2026 e introduce un livello di protezione superiore rispetto a campioni compilati nel 2025. Le stringhe vengono cifrate e il flusso del programma è complicato attraverso control flow flattening, espressioni di mixed boolean arithmetic e predicati opachi, tecniche che moltiplicano le istruzioni inutili e rendono più costosa la ricostruzione della logica. Prima di proseguire, il malware esegue controlli progettati per riconoscere gli ambienti virtualizzati: verifica tramite CPUID la presenza di un hypervisor, interroga con WMI la velocità della memoria RAM e interrompe l’esecuzione quando i risultati appaiono compatibili con una sandbox.

TELESHIM genera inoltre circa un gigabyte di operazioni di lettura e scrittura nella cartella temporanea, utilizzando un file di prova in un ciclo ripetuto mille volte. L’attività non aggiunge funzionalità all’impianto, ma può rallentare emulatori e sistemi automatici fino al superamento del tempo concesso per l’analisi. Il ricorso simultaneo a evasione ambientale e offuscamento indica un’operazione preparata contro bersagli sottoposti a controlli di sicurezza professionali, non una distribuzione indiscriminata.

Telegram nasconde il traffico di comando e controllo

Dopo l’avvio, TELESHIM copia i componenti nella directory C:\ProgramData\shimgen_Data\ e crea un’attività pianificata denominata shimgen, eseguita ogni sei minuti. Il malware utilizza quindi Telegram per comunicare con gli operatori, conservando in forma cifrata il dominio api.telegram.org, il token del bot e l’identificativo della chat autorizzata. Ogni computer infetto viene identificato tramite l’indirizzo MAC e interroga periodicamente il bot per ricevere aggiornamenti. Gli attaccanti possono inviare comandi destinati a una macchina specifica, eseguirli attraverso cmd.exe, acquisire l’output e riceverlo in forma cifrata e suddivisa in più messaggi. Un secondo tipo di comunicazione permette di scaricare documenti inviati al bot, decifrarli e avviarli attraverso nuove attività pianificate. L’abuso di Telegram evita la necessità di mantenere un’infrastruttura C2 completamente proprietaria e confonde le comunicazioni con il traffico diretto verso una piattaforma ampiamente utilizzata. Il modello si inserisce nella stessa evoluzione osservata nelle operazioni di spionaggio che sfruttano Microsoft Graph e servizi cloud legittimi come canali stealth: bloccare il dominio significherebbe interrompere anche attività lecite, mentre il contenuto cifrato limita l’efficacia delle ispezioni di rete.

Gli operatori esplorano utenti, rete e directory sensibili

ThreatLabz ha osservato direttamente parte dell’attività successiva alla compromissione tra il 7 e il 9 luglio 2026. I comandi mostrano un operatore interessato a utenti locali, processi in esecuzione, configurazione IP, cache DNS, connessioni attive e contenuti delle directory principali. Le verifiche hanno incluso net user, tasklist, hostname, ipconfig, netstat e l’enumerazione di Desktop, Download e diverse cartelle sotto C:\ProgramData. L’obiettivo era comprendere la configurazione del sistema, selezionare una directory adatta a nascondere gli strumenti successivi e verificare la connettività verso tre domini controllati dall’infrastruttura dell’attaccante.

La distribuzione dei comandi si concentrava tra le 7:00 e le 11:00 UTC, mentre l’intera finestra operativa osservata era compresa tra le 4:00 e le 12:00 UTC. Questi orari, insieme alla geolocalizzazione dell’indirizzo pubblico dell’operatore e alla lingua configurata sul server Windows utilizzato per il controllo, hanno contribuito alla valutazione che colloca l’attore in Asia orientale. Gli indicatori temporali e linguistici forniscono però soltanto contesto analitico e possono essere manipolati; non costituiscono una prova sufficiente per assegnare l’operazione a un Paese.

MIXEDKEY lega il payload alla macchina prescelta

Dopo la ricognizione, l’attore installa una seconda catena basata su un eseguibile legittimo di GoPro, due librerie Microsoft Visual C++ e una DLL malevola chiamata pthreadVC2.dll. Il binario autentico carica la libreria attraverso DLL sideloading, attivando il loader MIXEDKEY. Nella directory C:\ProgramData\Crypto\DSS\ viene inoltre depositato un file cifrato con estensione .PCPKEY, scelta per imitare gli artefatti del Microsoft Platform Crypto Provider. MIXEDKEY applica due livelli di decifratura: il primo utilizza una chiave incorporata nel file, mentre il secondo deriva una sequenza di venti byte dal numero seriale del volume della macchina infetta. Il payload può quindi essere decifrato correttamente soltanto sul computer per il quale è stato preparato. Questo environmental keying impedisce agli analisti di eseguire il campione su un sistema differente senza conoscere il valore originale e riduce il rischio che il malware venga scoperto su macchine non selezionate. La precisione del meccanismo suggerisce che ogni istanza finale venga costruita dopo la prima compromissione, quando l’operatore dispone già delle informazioni necessarie sul bersaglio.

BINDCLOAK mantiene l’accesso finale alla rete

Il file decifrato da MIXEDKEY contiene BINDCLOAK, un impianto C2 a 64 bit scritto in C++ e caricato direttamente in memoria attraverso reflective loading. L’esecuzione memory-only riduce la quantità di artefatti riconoscibili sul disco e consente alla backdoor di operare nel processo avviato dal binario legittimo. BINDCLOAK comunica con il dominio cert.hypersnet[.]com, ma l’analisi completa delle sue funzioni è stata riservata alla seconda parte della ricerca. La catena complessiva mostra una separazione precisa dei ruoli: TELESHIM fornisce il primo controllo e sfrutta Telegram, MIXEDKEY protegge e carica il payload specifico per la vittima, mentre BINDCLOAK stabilisce la presenza operativa finale. Ogni livello dispone di un proprio meccanismo di persistenza e di evasione, aumentando la resilienza dell’intrusione. La struttura richiama le operazioni di spionaggio contro forze dell’ordine e istituzioni asiatiche condotte attraverso loader e backdoor modulari, ma Zscaler non ha identificato sovrapposizioni sufficienti per collegare la nuova campagna a uno dei gruppi già conosciuti.

L’attribuzione resta confinata all’Asia orientale

La ricerca tecnica di Zscaler sulla campagna contro gli enti governativi mediorientali attribuisce con confidenza medio-alta la posizione operativa dell’attore all’Asia orientale, sulla base dell’indirizzo IP pubblico, della localizzazione del server Windows e degli orari di attività. ThreatLabz evita però di associare TELESHIM, MIXEDKEY e BINDCLOAK a un gruppo APT specifico, perché le evidenze disponibili non consentono di distinguere in modo affidabile tra un’unità statale, un contractor o un operatore indipendente. La prudenza è rilevante anche per il settore colpito: un archivio relativo all’esplorazione di petrolio e gas può interessare servizi di intelligence di più Paesi, ma il tema dell’esca non rivela automaticamente l’origine del mittente. Le organizzazioni governative devono cercare le directory e le attività pianificate utilizzate dalla campagna, controllare l’esecuzione di RegSchdTask.exe e GoProAlertService.exe da percorsi insoliti, rilevare connessioni automatizzate verso l’API di Telegram e analizzare i processi che caricano DLL locali non firmate. L’uso di software legittimo e piattaforme affidabili non riduce la pericolosità dell’operazione: rappresenta precisamente il meccanismo scelto per confondersi con il traffico e i processi normali della vittima.