Le nouveau bus d’exfiltration des maliciels ?
L’API de Telegram est désormais un canal privilégié pour les communications C2 (Command and Control) et l’exfiltration des maliciels (malwares). Cette tendance s’explique par la simplicité technique de l’API, qui offre aux auteurs de logiciels malveillants un système de messagerie mondial, sécurisé par TLS, sans nécessiter de serveur loué, de domaine à enregistrer ou de certificat à gérer.
Un simple envoi d’une ligne de code permet aux identifiants volés par un cleptogiciel (infostealer) de se retrouver dans un chat privé de l’opérateur. Les jetons de bot et les identifiants de chat sont généralement intégrés dans l’échantillon malveillant, permettant à quiconque récupérant ces informations d’accéder au même canal d’API. Cette problématique a été explorée par le chercheur Manuel Boll pour le Ransom-ISAC.
Le pipeline d’analyse : de l’échantillon statique à l’enrichissement passif
L’identification des jetons de bot et des identifiants de conversation se fait par le biais de VirusTotal, où les fichiers ayant communiqué avec api.telegram.org sont indexés. Les chercheurs collectent ces fichiers pour analyser leurs métadonnées statiques ou les URL de contact extraites à l’exécution. L’extraction des jetons et des identifiants s’effectue par une analyse régulière des URL de l’API, validée en interrogeant Telegram pour classer le bot et déterminer ses permissions.
L’analyse des métadonnées fournies par l’API permet d’établir une cartographie des opérateurs. Les requêtes passives révèlent des informations publiques sur le bot, telles que son nom, ses commandes C2 enregistrées et sa description. L’analyse des webhooks, ces URL dédiées, constitue un signal d’intelligence précieux, car un champ non vide indique l’existence d’une infrastructure secondaire contrôlée par l’attaquant. Le clustering des campagnes se fait en utilisant des clés communes, regroupant ainsi des chats et des échantillons distincts sous un même opérateur.
Pistes d’infrastructure et risques d’identité
L’analyse des métadonnées offre des indices sur l’infrastructure de l’opérateur au-delà de Telegram. Les URL de webhook peuvent être suivies via un inventaire DNS passif et l’historique des certificats TLS. En termes d’identité, l’analyse des conversations privées montre que l’identifiant de destination est souvent l’identifiant utilisateur personnel de l’opérateur. Cette information, récupérée directement par le maliciel, peut compromettre l’anonymat de l’opérateur en cas de négligence de sa sécurité opérationnelle.
L’utilisation de Telegram par les acteurs malveillants est passée d’une pratique sporadique à une méthode routinière et accélérée. Le travail de Manuel Boll documente une croissance de cette technique, passant d’une apparition sporadique en 2017 à une mise à l’échelle significative à partir de 2024. L’analyse des métadonnées montre également une composition internationale de l’écosystème : bien que la majorité des opérateurs soit d’origine russophone ou ukrainienne, on note également une présence arabe, perse et kurde, suggérant un écosystème malveillant diversifié. Telegram est ainsi devenu un outil d’exfiltration de données, souvent associé à des cleptogiciels dont les logs y sont largement distribués.
Source : Ransom-ISAC
