Telegram : le nouveau bus d’exfiltration des maliciels ?

Le pipeline d’analyse : de l’échantillon statique à l’enrichissement passif

L’identification des jetons de bot et des identifiants de conversation s’effectue par un pivot sur VirusTotal. Les fichiers ayant communiqué avec api.telegram.org sont indexés sur cette plateforme. Les chercheurs collectent ces fichiers, puis analysent leurs métadonnées statiques ou les URL de contact extraites à l’exécution. L’extraction des jetons et des identifiants est réalisée par une analyse régulière des URL de l’API. Ces données brutes sont ensuite validées en interrogeant l’API de Telegram, ce qui permet de classer le bot et de déterminer ses permissions.

L’analyse des métadonnées fournies par l’API permet d’établir une cartographie riche des opérateurs. Les requêtes passives révèlent des informations publiques sur le bot, telles que son nom, ses commandes C2 enregistrées, et sa description. L’analyse des webhooks – ces URL dédiées qui permettent de pousser des données à un destinataire – constitue un signal d’intelligence de haute valeur, car un champ non vide indique l’existence d’une infrastructure secondaire contrôlée par l’attaquant. Le clustering des campagnes est effectué en utilisant des clés communes – telles que l’URL de webhook, l’identifiant du créateur ou la description du bot – permettant de regrouper des chats et des échantillons distincts sous un même opérateur.

Pistes d’infrastructure et risques d’identité

L’analyse des métadonnées offre des indices sur l’infrastructure de l’opérateur au-delà de Telegram. Les URL de webhook peuvent être suivies via inventaire DNS passif et l’historique des certificats TLS. Sur le plan de l’identité, l’analyse des conversations privées révèle que, dans la majorité des cas, l’identifiant de destination est l’identifiant utilisateur personnel de l’opérateur. Cette donnée, récupérée directement depuis le maliciel, peut ainsi faire s’effondrer l’anonymat de l’opérateur en cas de négligence de sa sécurité opérationnelle.

L’utilisation de Telegram par les acteurs malveillants est passée d’une pratique sporadique à une méthode routinière et accélérée. Le travail de Manuel Boll documente une croissance constante de cette technique, passant d’une apparition sporadique en 2017 à une mise à l’échelle significative à partir de 2024.

L’analyse des métadonnées révèle également une composition internationale de l’écosystème : si la majorité des opérateurs est d’origine russophone ou ukrainienne, une présence secondaire arabe, perse et kurde est également observée, renforçant l’idée d’un écosystème malveillant internationalement diversifié. De plus, l’utilisation de Telegram est un excellent exemple d’outil d’exfiltration de données. Et l’écosystème Telegram est souvent associé à la menace des cleptogiciels dont les logs, leur butin, y sont largement distribués.