Telegram instrumentalisé pour de l’espionnage cyber au Moyen-Orient
Des chercheurs en cybersécurité rapportent qu’une nouvelle vague d’attaques, jusqu’alors inconnue, cible les réseaux gouvernementaux du Moyen-Orient en exploitant Telegram comme canal furtif de commande et contrôle. Détectée début décembre par Zscaler ThreatLabz, cette campagne déploie trois familles de malwares sur mesure — TELESHIM, MIXEDKEY et BINDCLOAK — sur les machines compromises, révélant une opération bien financée et liée à l’Asie de l’Est.
Une infiltration discrète via une appli de messagerie populaire
Les cybercriminels privilégient habituellement des protocoles personnalisés ou des serveurs invulnérables pour orchestrer leurs attaques, mais cette campagne détourne l’application Telegram, largement répandue, pour en faire un complice involontaire. En s’appuyant sur l’infrastructure de Telegram, les attaquants réduisent leurs coûts opérationnels tout en camouflant leur trafic malveillant parmi l’activité légitime des utilisateurs. Zscaler a observé que le malware TELESHIM, conçu spécifiquement pour interagir avec l’API de Telegram, reçoit des tâches et exfiltre des données via les messages chiffrés de la plateforme.
De nouveaux outils, des tactiques éprouvées
MIXEDKEY et BINDCLOAK semblent compléter TELESHIM, chacun jouant un rôle distinct dans la chaîne d’attaque. MIXEDKEY gère probablement le chiffrement ou les mouvements latéraux, tandis que BINDCLOAK pourrait servir de chargeur ou de mécanisme de persistance. Ce trio forme une trousse modulaire, facilement adaptable à différents cibles. Bien que les charges finales restent inconnues, la présence de ces familles pointe vers une opération d’espionnage plutôt que vers un malware criminel opportuniste.
Pourquoi c’est important
La popularité de Telegram, utilisée par des milliards de personnes, en fait un camouflage idéal pour les attaquants cherchant à échapper à la détection. Cette campagne illustre comment les groupes alignés sur des États exploitent de plus en plus les plateformes grand public pour des opérations furtives et prolongées. Pour les défenseurs, ce changement complique l’analyse du trafic et impose une inspection approfondie des protocoles applicatifs. Les organisations du Moyen-Orient — et tout secteur à haute valeur — devraient revoir leurs listes blanches et surveiller toute utilisation anormale de l’API Telegram pour limiter leur exposition à cette menace et à d’autres similaires.
Source : The Hacker News. Synthèse éditoriale assistée par IA — TechnoExpress.