Se ha descubierto una nueva campaña de ciberespionaje que utiliza bots de Telegram como controladores ocultos para puertas traseras (backdoors) instaladas en redes gubernamentales de Oriente Medio. Los atacantes emplean componentes legítimos de Windows y archivos aparentemente inofensivos, como imágenes ISO que contienen programas reales de ASUSTek junto con código malicioso, para establecer acceso sin levantar sospechas inmediatas.

Una campaña de ciberespionaje recientemente descubierta ha convertido los bots de Telegram en controladores silenciosos para puertas traseras plantadas dentro de redes gubernamentales de Oriente Medio.

La operación se basa en componentes conocidos de Windows y archivos con apariencia legítima, lo que permite a los atacantes establecer el acceso sin llamar la atención de inmediato.

La infección comienza con una imagen ISO que contiene un programa real ASUSTek RegSchdTask.exe y una DLL maliciosa acompañante.

Al iniciarse, el programa carga el código del atacante, abriendo una ruta de múltiples etapas que posteriormente entrega TELESHIM, MIXEDKEY y el implante BINDCLOAK.

TELESHIM utiliza la API de bots de Telegram como su canal de comando, haciendo que el tráfico malicioso se parezca a comunicaciones ordinarias con un servicio en línea confiable.

Investigadores de Zscaler identificaron la actividad en julio de 2026 mientras rastreaban a un actor vinculado a Asia Oriental que atacaba entidades gubernamentales en Oriente Medio.

Zscaler afirmó en un informe que los operadores capturaron resultados de reconocimiento, desplegaron nuevas cargas útiles y mantuvieron el acceso a través de tareas programadas.

Esta actividad demuestra por qué los canales de C2 de bots de Telegram merecen un escrutinio cercano cuando aparecen en sistemas que no tienen una necesidad comercial clara de utilizarlos.

Convierten los bots de Telegram en una puerta trasera secreta

Los atacantes utilizaron TELESHIM como la primera puerta trasera de la cadena. Esta se contacta con Telegram, verifica si hay mensajes enviados a un chat específico y puede ejecutar comandos solo cuando se dirigen al identificador de red único de la máquina infectada.

Este diseño ofrece a los operadores una forma discreta de gestionar los sistemas comprometidos. En lugar de conectarse directamente a un servidor sospechoso, el malware consulta un servicio ampliamente utilizado, recopila instrucciones, las ejecuta a través de herramientas de comando de Windows y devuelve los resultados de forma cifrada.

TELESHIM también recibe archivos a través de la interfaz del bot, los descifra localmente y los lanza mediante tareas programadas.

Esta combinación de control remoto y ejecución temporizada refleja los métodos de persistencia descritos en los ataques de persistencia por tareas programadas, que pueden permitir que el malware regrese después de un reinicio.

La puerta trasera intenta frustrar la investigación antes de comenzar su trabajo principal. Verifica entornos virtualizados, examina características de la memoria, realiza una actividad intensa de disco y oculta cadenas de texto para ralentizar el escaneo automatizado y el análisis manual.

Cadena de intrusión de múltiples etapas

Tras ganar acceso, los operadores realizaron el descubrimiento del sistema, usuario, red y archivos para comprender el entorno de cada víctima.

Luego seleccionaron una ubicación de almacenamiento y desplegaron un ejecutable legítimo con una DLL maliciosa, una táctica llamada a menudo sideloading, para cargar el siguiente componente.

El cargador de la segunda etapa, MIXEDKEY, descifra una carga útil cifrada utilizando el número de serie del volumen del dispositivo infectado como parte de su clave.

Esto significa que el implante final está diseñado para funcionar solo en la víctima prevista, haciendo que los archivos recuperados sean menos útiles para los analistas en otros lugares.

La última carga útil, BINDCLOAK, es un implante de 64 bits que se comunica con un dominio controlado por el atacante.

Zscaler evaluó, con una confianza de moderada a alta, que el operador se encuentra en Asia Oriental, pero no vinculó la actividad con ningún grupo de amenazas conocido.

Como defensor, deberías revisar los archivos ISO inesperados, la carga anormal de DLL junto a programas confiables y las tareas programadas recién creadas.

Los equipos de seguridad también deberían investigar el tráfico inusual de la API de Telegram desde estaciones de trabajo gubernamentales, especialmente donde el servicio de mensajería no sea necesario, mientras rastrean la actividad general de malware de sideloading de DLL para detectar señales de advertencia relacionadas.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.