การสื่อสาร C2 ของ TELESHIM รองรับข้อความสองประเภท ได้แก่
- Control Messages ซึ่งใช้สำหรับลงทะเบียนเครื่องที่ติดมัลแวร์ด้วยการส่ง MAC Address ของเครื่อง รวมถึงสั่งรันคำสั่งที่ได้รับมา และส่งผลลัพธ์กลับไปยังเซิร์ฟเวอร์โดยแบ่งเป็นชิ้นส่วน (Chunks) หากผลลัพธ์มีขนาดใหญ่กว่า 1,000 ไบต์
- Download and Execute Messages ซึ่งใช้สำหรับดาวน์โหลด และสั่งรัน Payload ขั้นที่สองในรูปแบบของ Scheduled Task
สิ่งที่น่าสังเกตเกี่ยวกับ Payload ตัวสุดท้ายคือ มันถูกล็อกไว้ภายใต้การเข้ารหัสแบบ XOR ถึงสองชั้น โดยชั้นที่สองใช้เทคนิคที่เรียกว่า Environmental Keying ด้วยการเข้ารหัสผ่านคีย์ถอดรหัสที่สร้างขึ้นจาก Volume Serial Number ของเครื่องที่ติดมัลแวร์ ทั้งนี้เพื่อให้มัลแวร์ทำงานเฉพาะบนเป้าหมายที่ตั้งใจไว้เท่านั้น
ลำดับการโจมตีสิ้นสุดลงด้วยการติดตั้ง BINDCLOAK ซึ่งเป็น C2 Implant แบบ 64-bit ที่เขียนด้วยภาษา C++ และจะติดต่อไปยังเซิร์ฟเวอร์ภายนอก (`cert.hypersnet[.]com`)
ThreatLabz ระบุว่า ได้ตรวจพบกิจกรรมหลังการเจาะระบบจากผู้ควบคุม C2 เช่น การเรียกใช้คำสั่งตรวจสอบเครือข่ายของเหยื่อ รวมถึงการส่ง Payload ในขั้นตอนถัดไป ซึ่งส่วนใหญ่เกิดขึ้นในช่วงระหว่างวันที่ 7 ถึง 9 กรกฎาคม 2026 โดยคำสั่ง C2 ถูกสั่งรันเฉพาะในช่วงเวลา 4.00 น. ถึง 12.00 น. ตามเวลา UTC เท่านั้น และกิจกรรมส่วนใหญ่เกิดขึ้นในช่วงเวลา 7.00 น. ถึง 11.00 น. ตามเวลา UTC
จากที่อยู่ IP address ของกลุ่มผู้โจมตี, การตั้งค่า System Locale บนเซิร์ฟเวอร์ Windows ของพวกเขา, ตำแหน่งทางภูมิศาสตร์ (Geolocation) ของ IP address และช่วงเวลาที่มีการปฏิบัติการ ทำให้สามารถประเมินได้ด้วยระดับความเชื่อมั่นปานกลางถึงสูงว่า แคมเปญนี้เป็นฝีมือของผู้โจมตีที่มีต้นตอมาจากภูมิภาคเอเชียตะวันออก อย่างไรก็ตาม ในขณะนี้ยังไม่มีการระบุว่าเป็นฝีมือของกลุ่มผู้โจมตีหรือกลุ่มใดกลุ่มหนึ่งที่รู้จักกันแต่อย่างใด
Singh ระบุว่า "กิจกรรมนี้ยังสะท้อนให้เห็นถึงแนวโน้มในภาพกว้าง เช่น การหลบเลี่ยง EDR (EDR Evasion), การพยายามกลมกลืนไปกับการใช้งานอินเทอร์เน็ตทั่วไปด้วยการใช้แพลตฟอร์ม Telegram และการใช้เทคนิค Code Obfuscation อย่าง MBA และ CFF เพื่อขัดขวางการทำ Reverse Engineering"
ที่มา : Thehackernews.
นักวิจัยด้านความปลอดภัยทางไซเบอร์ ออกมาแจ้งเตือนถึงการโจมตีทางไซเบอร์รูปแบบใหม่ โดยกลุ่มผู้โจมตีที่มีความเชื่อมโยงกับภูมิภาคเอเชียตะวันออก ซึ่งมุ่งเป้าโจมตีหน่วยงานรัฐบาลในภูมิภาคตะวันออกกลาง
จากข้อมูลของ Zscaler ThreatLabz การโจมตีดังกล่าวนำไปสู่การติดตั้งมัลแวร์ตระกูลใหม่ที่ยังไม่เคยมีการรายงานมาก่อน ซึ่งถูกตั้งชื่อว่า TELESHIM, MIXEDKEY และ BINDCLOAK โดยบริษัทด้านความปลอดภัยไซเบอร์รายนี้ระบุว่า ได้ตรวจพบแคมเปญนี้เมื่อช่วงต้นเดือนที่ผ่านมา
Sudeep Singh ผู้จัดการอาวุโสฝ่ายวิจัยด้าน APT ของ Zscaler ThreatLabz ระบุในรายงานเชิงเทคนิคที่เผยแพร่เมื่อสัปดาห์ที่ผ่านมาว่า "แคมเปญนี้มีกระบวนการโจมตีแบบหลายขั้นตอนเพื่อสร้าง และรักษาการเข้าถึงระบบ โดย TELESHIM ได้ใช้ Telegram API สำหรับการเชื่อมต่อกับ C2 เพื่อให้กลมกลืนไปกับการเชื่อมต่ออินเทอร์เน็ตทั่วไป"
การโจมตีเริ่มต้นด้วยไฟล์ ISO ที่ภายในมีไฟล์ Executable ที่ถูกต้องตามปกติ (`RegSchdTask.exe`) ซึ่งถูกใช้เพื่อ Sideload ไฟล์ DLL ที่เป็นอันตราย (`AsTaskSched.dll`) ซึ่งเป็น Backdoor บน Windows แบบ 32-bit ที่ชื่อว่า TELESHIM จากนั้น TELESHIM จะใช้ Telegram เป็นช่องทาง C2 เพื่อดึงส่วนประกอบในขั้นถัดไปมา
Payload สองตัวในนี้ถูกใช้เพื่อทำให้เกิดการทำ DLL Side-loading ซึ่งประกอบด้วย `GoProAlertService.exe` และ `pthreadVC2.dll` โดยไฟล์หลังทำหน้าที่เป็น Reflective Loader ที่มีชื่อรหัสว่า MIXEDKEY เพื่อถอดรหัสเนื้อหาของไฟล์ `C99F29AC08454855B3D538960BB2F34F.PCPKEY` และสั่งรัน
ทั้ง TELESHIM และ MIXEDKEY ถูกพบว่าพึ่งพาเทคนิคการทำ Code Obfuscation อย่างหนัก ซึ่งรวมถึงการเข้ารหัสสตริง (String Encryption), Control Flow Flattening (CFF), Mixed Boolean Arithmetic (MBA) และ Opaque Predicates เพื่อขัดขวางความพยายามในการทำ Reverse Engineering นอกจากนี้ TELESHIM ยังใช้วิธีการหลากหลายในการตรวจจับว่ามีการวิเคราะห์ในสภาพแวดล้อมแบบ Virtualization อยู่หรือไม่ ซึ่งบางส่วนมีดังนี้