# TELESHIM usa Telegram come canale di comando per attaccare governi mediorientali URL: https://menteinformatica.it/sicurezza-privacy/teleshim-telegram-attacchi-governi-medio/ Autore: Giorgio Perillo Aggiornato: 2026-07-27 Categoria: Sicurezza e Privacy --- Un gruppo di ricercatori di **Zscaler ThreatLabz** ha documentato una campagna di attacchi mirati contro enti governativi del Medio Oriente, attribuita a un threat actor con presunti legami all’Asia orientale. La scoperta, [pubblicata nel blog ufficiale di Zscaler](https://www.zscaler.com/blogs/security-research/targeted-attack-government-entities-middle-east-part-1), descrive tre famiglie di malware fino ad ora sconosciute: **TELESHIM**, MIXEDKEY e BINDCLOAK. La campagna è stata rilevata da Zscaler all’inizio di luglio 2026. Il dettaglio tecnico più rilevante è l’uso dell’**API di [Telegram](https://menteinformatica.it/tag/telegram/)** come canale di comando e controllo (C2): il backdoor TELESHIM comunica con gli operatori attraverso Telegram, mescolando il proprio traffico con quello di un’app di messaggistica usata da centinaia di milioni di persone. ## Come funziona la catena d’attacco L’infezione parte da un **file ISO** che contiene un eseguibile legittimo, RegSchdTask.exe, usato per caricare lateralmente una DLL malevola (AsTaskSched.dll). Questa DLL è TELESHIM stesso: un backdoor Windows a 32 bit che, una volta attivo, contatta i server degli attaccanti tramite Telegram per ricevere i componenti dello stadio successivo. Il secondo stadio prevede un’altra catena di DLL side-loading: GoProAlertService.exe carica pthreadVC2.dll, che funge da loader riflessivo (denominato MIXEDKEY) e decifra un payload aggiuntivo da un file con estensione .PCPKEY. - TELESHIM e MIXEDKEY usano **offuscamento pesante**: cifratura delle stringhe, appiattimento del flusso di controllo, aritmetica booleana mista e predicati opachi per ostacolare il reverse engineering. - TELESHIM include tecniche di **rilevamento degli ambienti di analisi**: controlla la presenza di hypervisor tramite l’istruzione CPUID e verifica la velocità della RAM, due metodi classici per capire se il malware sta girando in una sandbox. - Zscaler cita anche l’uso di **[environmental keying](https://attack.mitre.org/techniques/T1480/001/)** (tecnica MITRE ATT&CK T1480.001), che condiziona l’esecuzione del payload a caratteristiche specifiche del sistema bersaglio. ## Perché usare Telegram come C2 è un problema reale per i difensori Il vero problema di questa architettura non è tecnico in senso stretto: è operativo. Bloccare il dominio api.telegram.org in un’organizzazione governativa significa interrompere anche tutti gli usi legittimi di Telegram, cosa che molte organizzazioni non possono o non vogliono fare. Quando il canale C2 è indistinguibile dal traffico legittimo di un’app popolare, le difese perimetrali classiche smettono di funzionare. Questo schema non è nuovo, altri threat actor hanno già sfruttato Slack, Discord e GitHub come canali C2, ma la combinazione con tecniche anti-analisi avanzate e una catena di side-loading a più stadi lo rende più difficile da smontare in tempi rapidi. Il profilo delle vittime (enti governativi mediorientali) suggerisce un’operazione di spionaggio mirata, non un attacco opportunistico. **Perché conta:** L’abuso di API di servizi legittimi come canale C2 è una delle tendenze più consolidate nelle operazioni APT degli ultimi anni. Per chi gestisce reti enterprise o governative, il caso TELESHIM è un promemoria concreto che il filtraggio per reputazione del dominio non basta: serve ispezione del traffico applicativo e anomaly detection sul comportamento dei processi. Zscaler ha pubblicato solo la prima parte dell’analisi tecnica. I dettagli completi su BINDCLOAK e sull’attribuzione definitiva del gruppo sono attesi nelle prossime settimane. Fonte: [thehackernews.com](https://thehackernews.com/2026/07/teleshim-abuses-telegram-for-c2-in.html).