كشفت برمجية TELESHIM عن هجمات سيبرانية استهدفت جهات حكومية في الشرق الأوسط، مع استغلال تيليجرام كقناة تحكم لتفادي الرصد.
ما هي برمجية TELESHIM ولماذا تثير القلق؟
توضح المعطيات أن الحملة نُفذت عبر جهة تهديد مرتبطة بشرق آسيا، وركزت على مؤسسات حكومية حساسة في المنطقة. الخطر هنا لا يتعلق فقط بالاختراق، بل بطريقة الإخفاء التي تجعل النشاط يبدو كأنه حركة إنترنت عادية.
وبحسب ما رصدته تيكبامين، فإن برمجية TELESHIM ليست الأداة الوحيدة في العملية، بل جاءت ضمن سلسلة تضم أيضاً MIXEDKEY وBINDCLOAK، ما يشير إلى هجوم متعدد المراحل ومصمم بعناية للبقاء داخل الأجهزة المصابة.
كيف بدأ الهجوم على حكومات الشرق الأوسط؟
سلسلة الهجوم تبدأ بملف ISO يحتوي على ملف تنفيذي شرعي ظاهرياً يحمل اسم RegSchdTask.exe. هذا الملف يُستخدم لتحميل مكتبة DLL خبيثة باسم AsTaskSched.dll، والتي تعمل كبوابة خلفية على ويندوز.
بعد ذلك، تستغل TELESHIM واجهة Telegram API للتواصل مع خادم التحكم والسيطرة، ثم تسحب مكونات إضافية للمرحلة التالية. هذه الآلية تمنح المهاجمين قدرة على تحديث الهجوم أو توسيعه دون إثارة كثير من الشبهات.
أبرز مكونات سلسلة الاختراق
- ملف أولي بصيغة ISO لبدء العدوى
- استخدام DLL sideloading لتشغيل كود خبيث
- باب خلفي TELESHIM للتواصل عبر تيليجرام
- أداة MIXEDKEY لفك التشفير وتشغيل الحمولة التالية
- زرع BINDCLOAK كأداة تحكم نهائية داخل النظام
كيف أخفت TELESHIM نشاطها عبر تيليجرام؟
اللافت في هذه الحملة أن TELESHIM استخدمت تيليجرام كقناة C2، أي كوسيلة لإرسال الأوامر واستقبال البيانات. هذا الأسلوب يساعد البرمجية على الاندماج مع حركة الشبكة الطبيعية، خصوصاً في البيئات التي لا تعتبر تيليجرام مؤشراً فورياً على نشاط ضار.
كما اعتمدت الأدوات المستخدمة على تقنيات تعقيد عالية لتعطيل التحليل العكسي. وتشمل هذه الأساليب تشفير النصوص الداخلية، وتمويه مسارات التنفيذ، واستخدام معادلات منطقية معقدة، إلى جانب فحص بيئات التشغيل الافتراضية المستخدمة في مختبرات التحليل الأمني.
تقنيات الحماية من الاكتشاف
- تشفير السلاسل النصية داخل الكود
- إرباك تدفق التنفيذ Control Flow Flattening
- استخدام Mixed Boolean Arithmetic
- فحص بيئات المحاكاة والافتراضية
- تشغيل الحمولة فقط على الأجهزة المستهدفة
ما الذي يجعل الحمولة النهائية أكثر خطورة؟
المرحلة الأخيرة تنتهي بزرع BINDCLOAK، وهي أداة C2 مكتوبة بلغة ++C وتُستخدم للحفاظ على الاتصال مع خادم خارجي. الأخطر أن الحمولة الأخيرة كانت محمية بطبقتين من XOR، إحداهما تعتمد على الرقم التسلسلي لوحدة التخزين في الجهاز المصاب، ما يعني أنها لا تعمل إلا على الهدف المقصود.
وتشير البيانات إلى أن نشاط ما بعد الاختراق تركز بين 7 يوليو و9 يوليو 2026، وشمل أوامر استطلاع للنظام والمستخدمين والشبكة، إضافة إلى تنزيل حمولات جديدة. في النهاية، تعكس برمجية TELESHIM تصعيداً واضحاً في هجمات الشرق الأوسط، وهو ما يجعل المراقبة السلوكية وحماية قنوات تيليجرام أولوية، كما ترى تيكبامين.
