この作戦では、これまで文書化されていなかったマルウェア「TELESHIM」「MIXEDKEY」「BINDCLOAK」が展開され、コマンド&コントロール(C2)チャンネルとしてTelegramボットが利用されています。
2026年7月、研究者らは東アジアを拠点とする脅威アクターに中~高い確度で関連付けられる侵害後の活動を確認しました。
このグループはまだ既知のAPTと結び付けられていませんが、活動のタイミングやインフラの証拠、システムのロケール情報などがこの見立てを裏付けています。
感染は、正規のASUSTek実行ファイル「RegSchdTask.exe」と、悪意のあるDLL「AsTaskSched.dll」を含む武器化されたISOイメージから始まります。
この正規実行ファイルがDLLをサイドロードすることで、信頼された実行環境の中で第一段階のバックドア「TELESHIM」が起動します。
TELESHIMは32ビットのC++製Windows DLLであり、起動時にホストアプリケーションにフックを仕込みます。この間接的な実行手法により、マルウェアのコードが正規実行ファイルの下で動作するかたちとなるため、セキュリティ製品からの検知を回避しやすくなります。
マルウェアはC:\ProgramData\shimgen_Data\を作成し、正規実行ファイルをshimgen.exeとしてコピーしたうえで、shimgenという名前のスケジュールタスクを通じて永続化を確立します。
このタスクは6分ごとに実行され、再起動や中断後も繰り返し実行できるようになっています。
TELESHIMの主要な特徴はTelegram APIの悪用です。実行時にハードコードされたボットトークンとチャットIDを復号し、TelegramのgetUpdatesエンドポイントをポーリングして攻撃者からの指示を受け取ります。
これにより通信が正規のTelegram通信に紛れ込み、ネットワークでの検知が難しくなります。
このインプラントは、MACアドレスを通じて侵害済みの各システムを識別します。ホストを登録し、Telegramメッセージで送られたコマンドを実行し、コマンド出力を暗号化してチャンク単位で結果を送り返すことが可能です。
また、Telegram経由で追加のペイロードをダウンロードし、スケジュールタスクを通じて起動することもできます。TELESHIMは調査担当者の分析を遅らせ、サンドボックスを回避するために複数のアンチ解析手法を使用しています。
約1GBのディスク読み書き処理を実行し、CPUIDのハイパーバイザーフラグを確認するほか、WMI経由でRAM速度を照会します。仮想化を示す疑わしい結果が得られた場合は、実行を停止します。
防御担当者は、政府機関のエンドポイントからapi.telegram.orgへの予期しないアクセス、特に未知のボットに関連する繰り返しのポーリングリクエストを行うシステムを調査すべきです。
また、shimgenおよびFeedbackという名前のスケジュールタスク、AsTaskSched.dllまたはpthreadVC2.dllに関わるDLLサイドロード活動、そしてC:\ProgramData\shimgen_Data\またはC:\ProgramData\Crypto\DSS\配下の不審なファイルについても確認する必要があります。
組織は、cert. hypersnet[.]comへの接続をブロックまたは注意深く監視し、報告されているTELESHIMおよびMIXEDKEYのファイルハッシュを調査するとともに、石油、ガス、国境管理事務所、政府間協定に関連するISOベースの誘導ファイルを精査する必要があります。
Zscalerによると、同社のプラットフォームは関連するアーティファクトをWin32.Backdoor.TELESHIMおよびWin64.Loader.MIXEDKEYとして検知しているとのことです。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化されています（例: [.]）。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
より強固なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを導入する
翻訳元: https://cyberpress.org/teleshim-targets-middle-east-governments/
