Zscaler a identifié trois nouveaux outils malveillants dans une campagne visant des organismes gouvernementaux au Moyen-Orient. Le premier, TELESHIM, utilise l’API de Telegram pour recevoir les instructions des attaquants et masquer ses communications derrière un service légitime.
Telegram utilisé comme canal de commande
TELESHIM est une porte dérobée pour Windows capable d’exécuter des commandes, d’en transmettre les résultats et de télécharger d’autres composants malveillants. Pour communiquer avec les machines compromises, les attaquants ne s’appuient pas sur leur propre serveur, mais sur un bot Telegram.
Le programme interroge régulièrement l’API de la messagerie afin de récupérer les instructions qui lui sont destinées. Chaque ordinateur est identifié à partir de son adresse MAC : TELESHIM n’exécute donc que les commandes associées à la machine sur laquelle il est installé.
Ce choix permet aux échanges malveillants de passer par le domaine légitime de Telegram. Ils peuvent ainsi se fondre plus facilement dans le trafic réseau ordinaire et compliquer l’identification de l’infrastructure utilisée par les attaquants.
De faux documents liés au pétrole et aux frontières
L’infection commence par une image disque ISO contenant un programme légitime d’ASUS ainsi qu’une bibliothèque DLL malveillante. Lorsque l’utilisateur lance le logiciel, cette bibliothèque est chargée grâce à une technique de DLL sideloading, qui consiste à détourner l’exécution d’une application de confiance.
Les fichiers observés par Zscaler portaient des noms faisant référence à des accords de coopération pétrolière, gazière ou frontalière. Ces intitulés semblent avoir été choisis pour attirer l’attention de personnes travaillant au sein d’administrations ou d’organismes impliqués dans les relations internationales. Zscaler ne précise toutefois ni les pays ni les institutions touchés, et ne détaille pas la méthode utilisée pour transmettre ces fichiers aux victimes.
Une fois exécuté, TELESHIM crée une tâche planifiée qui le relance toutes les six minutes. Il cherche également à repérer les environnements virtuels employés par les chercheurs en sécurité et multiplie les opérations sur le disque afin de ralentir son analyse automatisée.
Les opérateurs suivis pendant trois jours
ThreatLabz a pu observer les commandes envoyées aux machines compromises entre le 7 et le 9 juillet 2026. Les attaquants ont commencé par examiner les utilisateurs connectés, les processus actifs, la configuration réseau, les connexions ouvertes et le cache DNS.
Ils ont ensuite parcouru plusieurs répertoires pour rechercher des fichiers et choisir des emplacements dans lesquels dissimuler les autres composants de l’attaque. Certains dossiers reprenaient les noms de logiciels Intel ou Lenovo, ainsi que de composants cryptographiques de Microsoft, afin de paraître légitimes.
Cette phase de reconnaissance a précédé l’installation de MIXEDKEY, un chargeur conçu pour déchiffrer et exécuter BINDCLOAK, l’implant final de commande et de contrôle. Le fichier contenant BINDCLOAK est chiffré à partir du numéro de série du disque de la victime. Il ne peut donc être correctement déchiffré que sur la machine ciblée, ce qui empêche de l’exécuter directement sur un autre ordinateur pour l’analyser.
Un acteur situé en Asie de l’Est
Zscaler estime, avec un niveau de confiance modéré à élevé, que l’opérateur de la campagne se trouve en Asie de l’Est. Cette évaluation repose notamment sur l’adresse IP publique observée, la configuration linguistique de son serveur Windows et ses horaires d’activité. Les chercheurs n’associent cependant pas encore l’opération à un groupe connu et ne l’attribuent à aucun État. Deux anciennes versions de TELESHIM auraient été compilées en 2025, tandis que la variante utilisée dans cette campagne date de juillet 2026.
Zscaler prévoit de publier une seconde analyse consacrée à BINDCLOAK, dont certaines fonctions restent encore à documenter.
