LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine neue, mehrstufige Kampagne mit den Malware-Familien TELESHIM, MIXEDKEY und BINDCLOAK beschrieben. Auffällig ist vor allem die Nutzung der Telegram-API als Command-and-Control-Kanal, wodurch die Kommunikation wie normaler Internetverkehr wirkt. Bei der Initialisierung setzt der Angreifer auf ein ISO-File, das einen legitimen Prozess missbraucht, um anschließend eine Rogue-DLL nachzuladen. Zusätzlich erschwert starke Code-Obfuskation und verschlüsseltes Payload-Deployment die Analyse und verzögert die Ausführung auf Zielsystemen.
Bei Angriffen auf staatliche Stellen ist nicht nur die Schadsoftware entscheidend, sondern auch wie ihre Kommunikation im Netzwerk „unauffällig“ bleibt. In einer aktuellen Analyse wird eine Kampagne beschrieben, die Regierungseinrichtungen im Nahen Osten ins Visier nimmt und dabei gleich mehrere neue Komponenten ausrollt: TELESHIM, MIXEDKEY und BINDCLOAK. Der zentral auffällige Punkt: TELESHIM nutzt die Telegram-API als Command-and-Control (C2), um Befehle und nächste Module einzuspeisen – in der Annahme, dass sich diese Muster leichter zwischen legitimen Traffic-Strömen verstecken lassen als bei klassischen C2-Mechanismen mit eigenen Domains oder unverstellten Protokollen.
Technisch betrachtet beginnt die Kette mit einem ISO-Image, in dem ein scheinbar legitimer Windows-Prozess mit dem Namen „RegSchdTask.exe“ enthalten ist. Der Prozess dient dabei nicht zum eigentlichen Ziel, sondern als Aufhänger für ein Sideloading: Danach wird eine Rogue-DLL („AsTaskSched.dll“) nachgeladen. Aus dieser Phase ergibt sich ein 32-bit Windows-Backdoor namens TELESHIM, das anschließend Telegram als Transportkanal für die nächste Stufe der Ausführung verwendet. Telegram ist dabei nicht „nur“ ein Notifikationsweg, sondern wird funktional als Nachrichtenbus eingesetzt, der dem kompromittierten System Control-Befehle sowie Anweisungen zum Abruf weiterer Payloads übermittelt.
Die Intrusion setzt auf zwei Ebenen von Payload-Logik, die sich jeweils in DLL-Sideloading-Schritten organisieren. Zwei dieser ausgelieferten Payloads triggern eine zweite Sideloading-Kette, die über „GoProAlertService.exe“ und eine weitere Komponente („pthreadVC2.dll“) läuft. „pthreadVC2.dll“ fungiert als Reflective Loader mit dem Codenamen MIXEDKEY: Sie entschlüsselt Inhalte, die als Datei „C99F29AC08454855B3D538960BB2F34F.PCPKEY“ eingebettet bzw. heruntergeladen wurden, und startet anschließend den entpackten Code. Dass diese Stufe nicht einfach als Klartext abläuft, sondern mit Verschlüsselung und key-abhängiger Ausführung arbeitet, ist für die Verteidigung besonders relevant: Selbst wenn ein Analyst die geladene Artefaktdatei sieht, bleibt die eigentliche Ziel-Payload ohne korrekte Entschlüsselungslogik zunächst schwer verwertbar.
Für die Analyse und die Forensik spielt zudem die starke Obfuskation eine Rolle. Sowohl TELESHIM als auch MIXEDKEY setzen laut Beschreibung auf Code-Verschleierung mit Techniken wie String Encryption, Control-Flow Flattening (CFF), Mixed Boolean Arithmetic (MBA) und Opaque Predicates. Diese Kombination ist darauf ausgelegt, statische Auswertung zu erschweren und typische Signaturen auf Byte- und Kontrollfluss-Ebene zu verwischen. Ergänzend zielt TELESHIM auf EDR- und Sandbox-Resistenz: Es nutzt mehrere Methoden zur Erkennung von Virtualisierungs- bzw. Analyseumgebungen, darunter Hypervisor-Detektion via CPUID sowie einen RAM-Speed-Check über Windows Management Instrumentation (WMI). Damit erhöht sich die Wahrscheinlichkeit, dass die Malware in automatisierten Testumgebungen gar nicht oder nur unvollständig „detoniert“.
Auch die Kommunikationsdetails sind für Sicherheitsverantwortliche greifbar: TELESHIM unterstützt zwei Nachrichtentypen. Control-Messages registrieren den infizierten Host, indem sie unter anderem die MAC-Adresse übermitteln, und führen anschließend die erhaltenen Kommandos aus. Ergebnisse werden bei Bedarf in Chunks zurück an den Server gesendet, sobald die Ausgabe größer als 1.000 Bytes ist. Download-and-Execute-Messages dienen dagegen dazu, nachgelagerte Payloads zu laden und zu starten, etwa als Scheduled Tasks. Besonders bemerkenswert ist, dass die finale C2-Implantat-Komponente BINDCLOAK in der Darstellung als 64-bit C2-Implant aus C++ beschrieben wird und ihre Ausführung zusätzlich hinter zwei XOR-Verschlüsselungsschichten „eingesperrt“ ist: Die zweite Schicht verwendet Environmental Keying, indem der Entschlüsselungsschlüssel aus dem Volume-Serial-Number des kompromittierten Systems abgeleitet wird. Dieser Mechanismus wirkt wie ein Zielsystem-Check, der die Erfolgsquote für gezielte Kampagnen erhöht.
Der weitere Verlauf der Kampagne umfasst Reconnaissance nach Kompromittierung und die Verteilung von nächsten Modulen. Als C2-Ziel wird ein externer Host genannt („cert.hypersnet[.]com“), über den BINDCLOAK Kontakt aufnimmt. Auffällig ist außerdem die zeitliche Verdichtung der Aktivität: Die Ausführung der C2-Kommandos erfolgte nur in einem Zeitfenster zwischen 4 a.m. und 12 p.m. UTC, mit einem Schwerpunkt zwischen 7 a.m. und 11 a.m. UTC. Solche Muster werden in Threat-Intelligence-Analysen häufig genutzt, um zeitlich passende Operator-Profile abzuleiten; hier kommt zusätzlich die Bewertung der System- bzw. Locale-Konfiguration, die Geolokation der verwendeten IP und die öffentlich beobachtete IP-Infrastruktur hinzu. Daraus ergibt sich eine Einschätzung mit moderat bis hoher Sicherheit, dass die Akteursherkunft in Ostasien liegen könnte, ohne dass die Kampagne bereits einem bekannten konkreten Gruppenprofil zugeschrieben wurde.
Für Unternehmen ist diese Fallstudie vor allem ein Lehrstück darüber, wie APTs „vertrauenswürdige“ Plattformen als C2 tarnen und gleichzeitig die Hürden der Reverse Engineering-Pipeline erhöhen. Wer EDR-Integrationen und Netzwerkmonitoring betreibt, sollte deshalb nicht nur nach klassischen C2-Domains suchen, sondern die Konsistenz von Kommunikationsmustern prüfen: Telegram-ähnlicher Traffic ist nicht automatisch bösartig, aber die Kombination aus spezifischem Bot-Verhalten, Host-Registrierungslogik (z. B. über MAC) und zeitlich auffälligen Reconnaissance-Workloads ist prüfbar. Daneben lohnt sich ein Blick auf die technischen Stellschrauben in der Abwehr: Detektionsregeln für Sideloading-Ketten (ISO → legitimer EXE-Proxy → Rogue DLL), Heuristiken gegen reflective DLL-Loader und Signale für wiederholte, obfuskationsbedingte Entschlüsselungs-/Ausführungsphasen. Gerade weil die Payload-Ausführung an Umgebungs- und Systemkennzahlen gekoppelt ist, kann sich ein reines „Detonate-and-scan“-Modell in der Praxis als zu spät erweisen; ein defensiver Ansatz, der Obfuskationsmuster und Prozessketten frühzeitig korreliert, erhöht dagegen die Chancen, die Kampagne noch vor der eigentlichen Kernphase zu stoppen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TELESHIM: Telegram als C2-Kanal bei APT-Angriffen gegen Regierungen im Nahen Osten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TELESHIM: Telegram als C2-Kanal bei APT-Angriffen gegen Regierungen im Nahen Osten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TELESHIM: Telegram als C2-Kanal bei APT-Angriffen gegen Regierungen im Nahen Osten« bei Google Deutschland suchen, bei Bing oder Google News!