TELESHIM abusa de Telegram para C2 en ataques contra gobiernos de Medio Oriente – CYBERDEFENSA.MX
Los investigadores de ciberseguridad han detectado una nueva actividad cibernética maliciosa por parte de un actor de amenazas con vínculos con el este de Asia y dirigida a entidades gubernamentales en el Medio Oriente.
Las intrusiones han dado lugar a la implementación de familias de malware no denunciadas anteriormente denominadas TELESHIM, MIXEDKEY y BINDCLOAK, según Zscaler ThreatLabz. La firma de ciberseguridad dijo que detectó la campaña a principios de este mes.
«La campaña utilizó una cadena de ataque de múltiples etapas para establecer y mantener el acceso a los sistemas infectados, con TELESHIM abusando de la API de Telegram para la comunicación de comando y control (C2) para mezclarse con el tráfico legítimo de Internet», Sudeep Singh, gerente senior de investigación APT en Zscaler ThreatLabz, dicho en un artículo técnico publicado la semana pasada.
La cadena de ataque comienza con un archivo ISO que contiene un ejecutable legítimo («RegSchdTask.exe») que se utiliza para descargar una DLL maliciosa («AsTaskSched.dll»), una puerta trasera de Windows de 32 bits llamada TELESHIM que luego aprovecha Telegram como C2 para recuperar componentes de la siguiente etapa.
Dos de estas cargas útiles se utilizan para activar una segunda Carga lateral de DLL cadena que comprende «GoProAlertService.exe» y «pthreadVC2.dll», y este último actúa como un cargador reflectante con nombre en código MIXEDKEY para descifrar el contenido de «C99F29AC08454855B3D538960BB2F34F.PCPKEY» y ejecutarlo.
Se ha descubierto que tanto TELESHIM como MIXEDKEY dependen de técnicas de ofuscación de código pesado, incluido el cifrado de cadenas, el aplanamiento del flujo de control (CFF), la aritmética booleana mixta (MBA) y predicados opacos para disuadir los esfuerzos de ingeniería inversa. TELESHIM también emplea una variedad de métodos para detectar la presencia de entornos de análisis basados en virtualización. Algunos de estos se enumeran a continuación:
- Detección de hipervisor mediante CPUID
- Comprobación de la velocidad de la RAM mediante el Instrumental de administración de Windows (WMI)
Las comunicaciones TELESHIM C2 admiten dos tipos de mensajes:
- Mensajes de control, que se utilizan para registrar el host infectado enviando la dirección MAC del host y ejecutando los comandos recibidos y exfiltrando los resultados al servidor en fragmentos si la salida tiene más de 1000 bytes.
- Descargar y ejecutar mensajes, que se utilizan para descargar y ejecutar cargas útiles secundarias como tareas programadas.
Lo notable de la carga útil final es que está bloqueada detrás de dos capas de cifrado XOR, la segunda capa utiliza una técnica llamada clave ambiental cifrándolo mediante una clave de descifrado derivada del número de serie del volumen de la máquina infectada. Esto se hace para que el malware detone sólo en los objetivos previstos.
La secuencia de ataque culmina con la implementación de BINDCLOAK, un implante C2 de 64 bits escrito en C++ que contacta con un servidor externo («cert.hypersnet[.]com»).
ThreatLabz señaló que identificó actividad posterior al compromiso del operador C2, como comandos de reconocimiento de sistema, usuario y red, así como la entrega de cargas útiles de la siguiente etapa, la mayoría de las cuales ocurrieron entre el 7 de julio de 2026 y el 9 de julio de 2026. Los comandos C2 se ejecutaron solo entre las 4 am y las 12 pm UTC, y una gran parte de la actividad tuvo lugar entre las 7 am y las 11 am UTC.
Según la dirección IP pública del actor de la amenaza, la configuración regional del sistema configurada en su servidor Windows, la geolocalización de la dirección IP y las horas operativas activas, se evalúa con confianza moderada a alta que la campaña es obra de un adversario originario del este de Asia. No se ha atribuido a ningún actor o grupo de amenazas conocido en este momento.
«La actividad también refleja tendencias más amplias como la evasión de EDR, la mezcla con el tráfico legítimo de Internet mediante el abuso de plataformas confiables y el uso de técnicas de ofuscación de códigos como MBA y CFF para obstaculizar la ingeniería inversa», dijo Singh.
