中東の政府機関を狙う新種マルウェアが発覚、Telegramを悪用して追跡を回避

要点

• セキュリティ企業Zscalerが、中東の政府機関を標的とした新たなサイバー攻撃キャンペーンを検知した。

• 攻撃には、これまで存在が知られていなかった「TELESHIM」「MIXEDKEY」「BINDCLOAK」という3つの新種マルウェアが使用されている。

• マルウェアの1つである「TELESHIM」は、メッセージングアプリ「Telegram」のAPIを悪用して遠隔操作の指示を受け取ることで、正当な通信に紛れ込んでいた。

• 解析を妨げるために、難読化技術や仮想環境の検知機能に加え、標的以外のパソコンでは動作しないようにする暗号化手法が用いられていた。

• 攻撃者の活動時間帯や使用されたサーバーの設定などから、攻撃キャンペーンの背後には東アジアにルーツを持つグループが存在するとみられている。

• セキュリティ企業のZscaler ThreatLabzは、中東の政府機関を標的とした新たなサイバー攻撃キャンペーンを検出したとする調査結果を、2026年7月に公表した。この攻撃は同月に検出されたもので、これまで確認されていなかった新種のマルウェアファミリーが複数使用され、特にメッセージングアプリ「Telegram」を悪用した高度な通信手法が採用されている。同社は、攻撃の稼働時間やサーバーの設定から、この攻撃キャンペーンが東アジアに拠点を置く攻撃者によるものである可能性が高いとみている。

3つの新種マルウェアの登場

Zscalerの発表によると、この攻撃キャンペーンは2026年7月初旬に検出された。今回の調査によって、これまでセキュリティ業界で報告されていなかった「TELESHIM」「MIXEDKEY」「BINDCLOAK」と呼ばれる3つの新しいマルウェアファミリーが展開されていることが明らかになった。

ZscalerのAPT（持続的標的型脅威）リサーチ部門でシニアマネージャーを務めるスディープ・シン氏は、「このキャンペーンは、感染システムへのアクセスを確立・維持するために多段階の攻撃手順を踏んでいる。その中で、TELESHIMはC2（遠隔操作用の司令部）通信にTelegramのAPIを悪用しており、これにより攻撃用のトラフィックを正当なインターネット通信に紛れ込ませていた」と説明している。

多段階の攻撃プロセス

今回の攻撃キャンペーンでは、巧妙な多段階の実行プロセスが用いられていた。

攻撃はまず、正規の実行ファイルである「RegSchdTask.exe」を含むISOファイル（ディスクイメージファイル）から始まる。この正規ファイルを悪用し、不正なDLL（プログラムを構成する部品ファイル）である「AsTaskSched.dll」を読み込ませる「DLLサイドローディング」と呼ばれる手法が実行される。DLLサイドローディングとは、正規のプログラムが外部ファイルを読み込む仕組みを悪用して、悪意あるプログラムを割り込ませて実行させる技術である。ここで読み込まれる実体が、32ビットWindowsに対応したバックドア（外部からの不正アクセスの入り口）型マルウェアである「TELESHIM」である。

TELESHIMは、感染したコンピュータに侵入すると、Telegramを遠隔操作の連絡経路として利用し、次の段階の攻撃用コンポーネントをダウンロードする。

その後、ダウンロードされたペイロード（悪意あるプログラムの本体）により、2回目のDLLサイドローディングが実行される。この段階では、正規ファイル「GoProAlertService.exe」と不正なDLL「pthreadVC2.dll」が使用される。

この「pthreadVC2.dll」は、メモリ上に直接プログラムを展開して実行する「MIXEDKEY」と呼ばれるプログラムとして機能し、「C99F29AC08454855B3D538960BB2F34F.PCPKEY」という暗号化ファイルのコンテンツを復号し、実行に移す。

解析を阻む高度な難読化と仮想環境検知

今回の攻撃の特徴は、マルウェアの解析や検知を困難にするための難読化と隠蔽の技術が徹底されている点にある。

TELESHIMおよびMIXEDKEYには、プログラムの内容を読み取りにくくする高度な難読化技術が多用されている。具体的には、文字列の暗号化をはじめ、プログラムの実行順序を複雑にする「制御フロー平坦化（CFF）」、数学的処理を用いてコードの論理構造を隠蔽する「混合ブール算術（MBA）」、解析ツールを誤認させる「不透明述語」などの技術が確認された。これらはすべて、セキュリティアナリストによるリバースエンジニアリング（プログラムの解析・解読）の妨害を目的としている。

また、TELESHIMには、セキュリティ調査で用いられる仮想化解析環境（サンドボックス）を検知する機能も備わっている。CPU情報を取得する「CPUID」コマンドを用いたハイパーバイザ（仮想化ソフト）の検出や、Windowsのシステム管理機能である「WMI」を利用したメモリ（RAM）のアクセス速度チェックなどが実行され、もし解析環境であることが検知されると、不正な動作を停止して自身の存在を隠蔽するよう設計されていた。

標的を絞り込む暗号化と最終インプラント

TELESHIMが実行する遠隔操作の通信には、2種類のメッセージタイプが存在する。

1つは、感染したマシンのMACアドレス（物理的な識別番号）を送信してホストを登録し、受信したコマンドを実行して結果を返す「制御メッセージ」である。実行結果が1000バイトを超える大容量の場合は、データを分割して送信する仕組みになっている。もう1つは、追加のプログラムをダウンロードし、Windowsのタスクスケジューラに登録して定期実行させる「ダウンロード・実行メッセージ」である。

最終的に送信されるペイロードには、2重のXOR暗号化が施されている。さらにその2層目には「環境キーイング（Environmental Keying）」と呼ばれる技術が用いられている。これは、標的となるマシンのハードディスクのボリュームシリアル番号を基にして復号用の鍵を生成する手法である。これにより、狙った標的以外のパソコンでこのマルウェアを動作させようとしても復号ができず、プログラムが起動しないため、解析者がプログラムの挙動を追跡するのを防ぐことができる。

攻撃の最終段階では、C++で書かれた64ビットの遠隔操作用プログラム「BINDCLOAK」が展開される。BINDCLOAKは、外部にあるサーバー「cert.hypersnet[.]com」に接続し、攻撃者からの直接的な命令を待ち受けるインプラントとして機能する。

東アジア由来とみられる攻撃者のプロファイル

Zscalerは、システム調査やユーザー情報の収集、ネットワーク偵察コマンドの実行、追加ペイロードの配信といった、システム侵入後の攻撃者の具体的な活動を特定した。これらの活動の大部分は、2026年7月7日から7月9日の間に観測されている。

興味深いことに、攻撃者が司令部から送信したコマンドの実行時間は、協定世界時（UTC）の午前4時から午後12時の間に限られており、特に午前7時から午前11時の時間帯に活動の大部分が集中していた。

Zscalerは、攻撃者の接続元となった公開IPアドレス、Windowsサーバーに設定されていたシステムロケール（地域や言語の設定）、IPアドレスから判明した地理的位置、そしてこの規則的な活動時間帯を分析した。その結果、このキャンペーンは東アジアに由来する攻撃グループによるものであると、中から高の確度で評価している。現時点では、特定の既知の攻撃グループとの関連付けは行われていない。

シン氏は、「今回の活動は、EDR（エンドポイントでの脅威検知・対処）の回避や、信頼された外部プラットフォームを悪用した正当なトラフィックへのなりすまし、さらにはリバースエンジニアリングを妨げる難読化技術の採用といった、昨今のサイバー脅威に見られる大きな流れを反映している」と結論付けている。