近期安全研究機構 Zscaler ThreatLabz 揭露了一場針對中東政府機關的複雜網路攻擊。這次攻擊的核心在於一套名為 TELESHIM 的惡意軟體，其最值得工程師關注的特點是將 Telegram API 作為指令控制伺服器（C2, Command and Control），讓惡意流量偽裝成合法的社交軟體通訊，從而規避企業防火牆或流量分析的偵測。
這場攻擊並非單一檔案的執行，而是一個精心設計的多階段攻擊鏈，旨在逐步突破防禦並在目標系統中建立持久化權限。
攻擊鏈的啟動與 DLL 側載技術
攻擊者首先透過 ISO 映像檔將惡意內容傳入目標主機。其中包含一個合法的執行檔 RegSchdTask.exe，但其目的並非執行原有的功能，而是利用 DLL Sideloading（DLL 側載）技術。
DLL 側載是一種常見的繞過防禦手段。簡單來說，許多合法程式在啟動時會嘗試載入特定的 DLL 函式庫。攻擊者將惡意編寫的 DLL（在此案例中為 AsTaskSched.dll）命名為程式預期載入的名稱，並將其放在同一目錄下。當合法程式啟動時，會優先載入這個惡意 DLL 而非系統路徑下的正版檔案，從而讓惡意程式在合法程序的權限下運行，有效欺騙端點偵測與回應（EDR）系統。
TELESHIM 的 C2 隱匿與功能
被載入的 AsTaskSched.dll 即為 TELESHIM 後門。它利用 Telegram API 與攻擊者的伺服器溝通。對於安全維運人員來說，如果公司內部允許使用 Telegram，這類流量在日誌中看起來就像一般的使用者聊天行為，極難被區分為惡意指令。
TELESHIM 的 C2 通訊主要分為兩類訊息。第一類是控制訊息，用於註冊受感染主機（傳送 MAC 地址）並接收指令，若指令執行結果過大，則會分段回傳。第二類是下載執行訊息，用於將後續階段的惡意組件下載並設定為排程工作，以確保系統重啟後依然能維持控制。
反分析與環境偵測機制
為了防止安全研究員對其進行逆向工程，TELESHIM 採取了極其強悍的混淆技術。這包括字串加密、控制流平坦化（CFF, Control Flow Flattening，將原本的邏輯結構打散成一個巨大的切換迴路，讓分析者難以追蹤程式邏輯）、以及混合布林算術（MBA, Mixed Boolean Arithmetic，將簡單的數學運算轉換為極其複雜的邏輯表達式）。
此外，它還具備虛擬機偵測能力。它會透過 CPUID 指令檢查 Hypervisor（虛擬化管理程序）的存在，並利用 WMI（Windows 管理工具）檢查記憶體速度。如果發現自己運行在沙箱或分析環境中，它將不會觸發惡意行為，增加分析難度。
精準打擊：環境金鑰加密
在攻擊鏈的後段，攻擊者部署了 MIXEDKEY 載入器，用以解密最終的 Payload。這裡使用了一種稱為 Environmental Keying（環境金鑰）的技術。
解密金鑰並非直接寫在程式碼中，而是由受感染主機的磁碟卷軸序號（Volume Serial Number）動態生成。這意味著該惡意軟體即便被安全公司截獲並在分析機上執行，由於硬體序號不符，無法生成正確的金鑰，因此永遠無法解密出最終的 BINDCLOAK 植入物。這種做法確保了攻擊僅在特定的目標主機上觸發。
最終階段與歸因分析
整個攻擊鏈的終點是部署 BINDCLOAK，這是一個以 C++ 編寫的 64 位元 C2 植入物，負責進行系統偵察、用戶資訊收集與網路掃描。
根據攻擊者的操作時間（主要集中在 UTC 04:00 至 12:00）、伺服器設定的地區語言以及 IP 地理位置，研究人員初步判定該攻擊者來自東亞地區。
總結給工程師的啟示
這次攻擊展示了現代 APT（進階持續性威脅）的趨勢：不再依賴單一漏洞，而是透過合法程式側載、利用信任平台（Telegram）隱匿流量、以及利用目標環境特徵進行加密。對於防禦端而言，僅監控已知惡意 IP 已不足夠，更需關注異常的 DLL 載入行為以及合法應用程式產生的異常流量模式。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。