TELESHIM : malware Telegram cible les États du Moyen-Orient

Découverte de trois familles de malwares inédites ciblant des gouvernements

Le 27 juillet 2026, les chercheurs de Zscaler ThreatLabz ont publié une analyse technique détaillée d'une campagne de cyberespionnage sophistiquée visant des entités gouvernementales dans plusieurs pays du Moyen-Orient. Cette opération, associée avec un niveau de confiance modéré à un acteur menaçant d'origine est-asiatique, a permis la découverte de trois familles de malwares jusqu'alors absentes des référentiels publics de threat intelligence : TELESHIM, MIXEDKEY et BINDCLOAK.

Le vecteur d'infection initial repose sur un fichier ISO piégé contenant un exécutable légitime de la marque ASUSTek — RegSchdTask.exe — utilisé comme leurre pour effectuer un DLL sideloading. La DLL malveillante chargée, nommée AsTaskSched.dll, constitue la première étape d'une chaîne d'infection multi-stades. Cette technique de détournement d'applications légitimes et signées numériquement est particulièrement efficace car elle contourne les contrôles de liste blanche applicative déployés par la majorité des administrations publiques cibles.

TELESHIM est décrit par ThreatLabz comme une DLL Windows 32 bits développée en C++. Sa particularité principale réside dans l'utilisation de l'API Telegram pour ses communications de commande et contrôle (C2). En acheminant ses échanges opérationnels via Telegram — un service de messagerie légitime utilisé par des centaines de millions d'utilisateurs dans le monde — l'acteur malveillant cherche à fondre son trafic dans la masse des communications normales, rendant la détection par inspection réseau profonde (DPI) particulièrement difficile voire impossible sans accès aux clés de chiffrement de la plateforme. La variante identifiée dans cette campagne a été compilée en juillet 2026 et intègre de lourdes techniques d'obfuscation du code source ainsi qu'un chiffrement systématique des chaînes de caractères, compliquant l'analyse statique des échantillons.

MIXEDKEY constitue la deuxième étape de la chaîne d'infection. Ce composant assure la persistance sur les systèmes compromis et procède à la collecte de renseignements sur l'environnement : inventaire des processus actifs, des connexions réseau, des utilisateurs connectés et de la configuration système. Les informations collectées alimentent le profil de la cible côté attaquant et orientent les actions post-exploitation. Les détails techniques précis de son fonctionnement interne restent partiellement réservés dans la publication de ThreatLabz, conformément aux pratiques de divulgation responsable qui évitent de fournir aux acteurs malveillants une documentation opérationnelle clé en main.

BINDCLOAK représente la charge utile finale de l'opération. Ce troisième malware se distingue par une technique d'environmental keying particulièrement sophistiquée : son déchiffrement repose sur une clé dérivée du numéro de série du volume disque de la machine infectée. Cette approche signifie concrètement que l'échantillon malveillant est indéchiffrable — et donc inanalysable — en dehors de l'environnement physique ou virtuel pour lequel il a été spécifiquement constitué. Un analyste qui extrairait BINDCLOAK d'une machine compromise et tenterait de l'analyser dans une sandbox classique se retrouverait face à un binaire opaque, sans possibilité d'extraire les indicateurs de compromission ou les capacités réelles du composant.

La chaîne d'attaque complète suit une logique de progression par étapes : l'ISO malveillant est probablement distribué via du spear-phishing ciblé ou un accès physique aux réseaux gouvernementaux cibles. Le DLL sideloading de RegSchdTask.exe installe TELESHIM, qui établit le canal C2 via Telegram. MIXEDKEY est ensuite déployé pour la reconnaissance et la persistance. BINDCLOAK arrive en dernière étape, personnalisé pour la machine cible spécifique, pour réaliser les objectifs finaux de l'opération — exfiltration de documents, surveillance des communications ou compromission de systèmes supplémentaires dans le réseau cible.

Concernant l'attribution, ThreatLabz précise dans son rapport qu'aucun groupe APT connu ne peut être formellement associé à cette activité au stade actuel de l'enquête. Des indices techniques — notamment les conventions de nommage des fichiers, les artefacts de compilation, les choix architecturaux et les TTPs globales — pointent vers une origine est-asiatique sans permettre une identification plus précise. La publication annoncée comme la première d'une série de deux parties laisse entendre que des éléments additionnels d'attribution seront présentés dans la prochaine livraison.

Les cibles confirmées sont des entités gouvernementales dans la région du Moyen-Orient, sans que Zscaler ne divulgue publiquement les pays spécifiquement affectés. Cette discrétion est standard dans la divulgation de campagnes d'espionnage impliquant des États souverains : les gouvernements victimes sont notifiés en amont et ont la primauté sur la communication publique concernant leur propre compromission.

Pourquoi cette campagne redéfinit les menaces contre les administrations publiques

L'utilisation de Telegram comme infrastructure C2 s'inscrit dans une tendance longue observée depuis 2024 : le détournement de services cloud légitimes — OneDrive, Slack, Discord, GitHub et désormais Telegram — à des fins malveillantes. Pour les équipes de sécurité défensive, cette évolution pose un défi fondamental. Bloquer l'accès à ces plateformes compromettrait des outils légitimement utilisés par les mêmes organisations cibles pour leur fonctionnement quotidien. La granularité des contrôles de sécurité réseau doit désormais descendre au niveau du comportement applicatif et contextuel — quel processus génère le trafic Telegram, depuis quel poste, vers quel bot ID — et non plus simplement au niveau du domaine ou de l'adresse IP de destination.

Le DLL sideloading via des exécutables légitimes et signés numériquement représente une technique en pleine renaissance. Observée initialement dans les années 2010 dans les campagnes APT chinoises (APT10, APT41, entre autres), cette méthode connaît un regain d'utilisation significatif depuis 2023. Les éditeurs de systèmes d'exploitation ont progressivement renforcé les contrôles sur les exécutables non signés, mais la chaîne de confiance accordée aux binaires signés par des constructeurs hardware réputés comme ASUS, Dell ou Lenovo crée une fenêtre d'exploitation persistante que les acteurs sophistiqués savent utiliser avec précision. Les solutions EDR modernes détectent de mieux en mieux ce type d'activité, mais la compilation récente de TELESHIM (juillet 2026) indique que les acteurs adaptent leurs outils en permanence pour échapper aux signatures existantes.

L'environmental keying de BINDCLOAK illustre une autre tendance préoccupante : la personnalisation croissante des charges malveillantes pour des cibles spécifiques. Cette technique, jadis réservée aux opérations les plus sophistiquées des services de renseignement étatiques de premier plan, se démocratise progressivement au sein de groupes APT de niveau intermédiaire. Elle complique considérablement le travail des équipes de réponse à incident et des sociétés d'analyse forensique, qui ne peuvent plus simplement soumettre un échantillon à une sandbox ou un service d'analyse en ligne pour obtenir des indicateurs de compromission exploitables. La collecte d'artefacts directement sur la machine compromise devient indispensable, avec toutes les contraintes opérationnelles que cela implique.

Pour les organisations gouvernementales et les opérateurs d'importance vitale français et européens, cette campagne constitue un signal d'alerte directement applicable. Les TTPs documentées par ThreatLabz — ISO malveillants distribués par spear-phishing, DLL sideloading d'exécutables constructeurs, C2 via services cloud légitimes, environmental keying des charges finales — sont directement transposables dans n'importe quelle région géographique et contre n'importe quel profil d'organisation gouvernementale. L'ANSSI et le CERT-FR ont régulièrement alerté sur des campagnes similaires ciblant des entités françaises dans leurs bulletins de threat intelligence. Les indicateurs de compromission (IOC) publiés par Zscaler dans leur rapport technique constituent un point de départ immédiat pour la chasse aux menaces dans les environnements sensibles.

Ce qu'il faut retenir

• Trois nouvelles familles de malwares (TELESHIM, MIXEDKEY, BINDCLOAK) découvertes dans une campagne APT est-asiatique ciblant des gouvernements du Moyen-Orient — les IOC Zscaler doivent être intégrés aux outils de détection en priorité.
• TELESHIM abuse l'API Telegram comme canal C2 pour masquer ses communications dans le trafic légitime : surveiller les connexions api.telegram.org initiées par des processus système inattendus.
• L'environmental keying de BINDCLOAK rend l'analyse forensique hors machine cible quasi impossible — les procédures IR doivent inclure la collecte d'artefacts directement sur les systèmes compromis avant toute remédiation.