विश्लेषण: कैसे एनवायर्नमेंटल कीइंग और टेलीग्राम C2 पारंपरिक EDR को बायपास करते हैं

7 जुलाई से 9 जुलाई, 2026 के बीच पता चला घुसपैठ अभियान, जो मध्य पूर्व में सरकारी संस्थाओं को लक्षित कर रहा था, आधुनिक एक्सेस एसिमेट्री (access asymmetry) में एक निश्चित केस स्टडी प्रदान करता है। Zscaler ThreatLabz के साइबर सुरक्षा शोधकर्ताओं ने एक परिष्कृत बहु-चरणीय हमला श्रृंखला की पहचान की है जो निरंतरता बनाए रखने के लिए विश्वसनीय प्लेटफार्मों और गहन सिस्टम टोही (reconnaissance) का उपयोग करती है। तकनीकी डेटा एक ऐसे ऑपरेशन का खुलासा करता है जो सख्त समय अनुशासन और भारी कोड अस्पष्टता (code obfuscation) द्वारा पहचाना जाता है। ऑपरेटरों ने अपनी कमांड-एंड-कंट्रोल (C2) गतिविधि को सुबह 4 बजे से दोपहर 12 बजे UTC के बीच आठ घंटे की विंडो तक सीमित रखा, जिसमें सुबह 7 बजे से 11 बजे UTC के बीच निष्पादन की उच्च सांद्रता थी। यह शेड्यूल पूर्वी एशियाई समय क्षेत्रों में मानक कार्य दिवस से मेल खाता है। मैलवेयर आर्टिफैक्ट्स, विशेष रूप से TELESHIM, MIXEDKEY और BINDCLOAK, ऑपरेटिंग सिस्टम द्वारा तृतीय-पक्ष लाइब्रेरी लोड को मान्य करने के तरीके में वास्तुशिल्प कमजोरियों का उपयोग करते हैं।

बहु-चरणीय संक्रमण श्रृंखला

हमला एक ISO फ़ाइल के साथ शुरू होता है जो प्रारंभिक वितरण वाहन के रूप में कार्य करती है। इस फ़ाइल में RegSchdTask.exe नाम का एक वैध, हस्ताक्षरित विंडोज निष्पादन योग्य (executable) होता है। हमलावर DLL साइड-लोडिंग करने के लिए इस फ़ाइल का उपयोग करते हैं, यह एक ऐसी तकनीक है जहाँ OS लोडर को धोखा देने के लिए एक विश्वसनीय एप्लिकेशन के समान निर्देशिका में एक दुर्भावनापूर्ण लाइब्रेरी रखी जाती है। इस मामले में, दुष्ट घटक AsTaskSched.dll है, जिसमें TELESHIM बैकडोर होता है। यह 32-बिट विंडोज इम्प्लांट अभियान के लिए प्राथमिक स्काउट और डाउनलोडर के रूप में कार्य करता है। इनमें से प्रत्येक चरण पिछले स्तर पर एक निर्भरता बनाता है, यह सुनिश्चित करता है कि सुरक्षा स्कैनर पूर्ण निष्पादन संदर्भ के बिना अंतिम पेलोड का विश्लेषण नहीं कर सकते।

TELESHIM C2 संचार के लिए टेलीग्राम API का दुरुपयोग करके अपनी पकड़ बनाता है। यह मैलवेयर को वैध HTTPS ट्रैफ़िक के साथ घुलने-मिलने की अनुमति देता है, क्योंकि कई उद्यम वातावरण व्यावसायिक संचार के लिए टेलीग्राम की अनुमति देते हैं या ज्ञात सोशल मीडिया डोमेन के एन्क्रिप्टेड ट्रैफ़िक का निरीक्षण करने में विफल रहते हैं। बैकडोर परिचालन आदेशों के एक विशिष्ट सेट का समर्थन करता है:

• MAC एड्रेस ट्रांसमिशन के माध्यम से होस्ट पंजीकरण।
• 1,000-बाइट टुकड़ों में कमांड निष्पादन और परिणाम एक्सफ़िल्ट्रेशन।
• अनुसूचित कार्यों (scheduled tasks) के माध्यम से द्वितीयक पेलोड वितरण।

उन्नत बचाव और कोड अस्पष्टता

TELESHIM और MIXEDKEY के डेवलपर्स स्थिर और गतिशील विश्लेषण को विफल करने के लिए भारी कोड अस्पष्टता (code obfuscation) का उपयोग करते हैं। वे कोड की तार्किक प्रगति को एक जटिल स्विच-केस संरचना में तोड़ने के लिए कंट्रोल फ्लो फ्लैटनिंग (CFF) का उपयोग करते हैं, जिससे शोधकर्ताओं के लिए निष्पादन पथ का पालन करना मुश्किल हो जाता है। मिक्स्ड बुलियन अरिथमेटिक (MBA) सरल गणितीय संचालन को जटिल, समकक्ष बहुपद अभिव्यक्तियों में बदल देता है जिन्हें सिग्नेचर-आधारित डिटेक्शन इंजन अक्सर अनदेखा कर देते हैं। इन तकनीकों को अपारदर्शी विधेय (opaque predicates) के साथ जोड़ा जाता है—सशर्त शाखाएं जो हमेशा एक ही परिणाम का मूल्यांकन करती हैं लेकिन डीकंपाइलर के लिए जटिल दिखाई देती हैं। इस प्रयास के पैमाने का अनुमान लगाने के लिए, TELESHIM लोडर में एकीकृत एंटी-वर्चुअलाइजेशन जांच को देखना चाहिए। यह हाइपरवाइजर हस्ताक्षरों के लिए CPUID से पूछताछ करता है और रैम की गति की जांच करने के लिए विंडोज मैनेजमेंट इंस्ट्रूमेंटेशन (WMI) का उपयोग करता है। यदि वातावरण सैंडबॉक्स या वर्चुअल मशीन की विशेषताओं को प्रदर्शित करता है, तो मैलवेयर निष्पादन को तुरंत समाप्त कर देता है।

एनवायर्नमेंटल कीइंग और लक्षित विस्फोट

विश्लेषण में सबसे महत्वपूर्ण बाधा MIXEDKEY और BINDCLOAK चरणों में एनवायर्नमेंटल कीइंग (environmental keying) का उपयोग है। अंतिम पेलोड XOR एन्क्रिप्शन की दो परतों द्वारा सुरक्षित है। दूसरी परत संक्रमित मशीन की प्राथमिक ड्राइव के वॉल्यूम सीरियल नंबर से अपनी डिक्रिप्शन कुंजी प्राप्त करती है। व्यवहार में इसका अर्थ यह है कि मैलवेयर विशिष्ट लक्ष्य के अलावा किसी भी अन्य सिस्टम पर निष्क्रिय रहता है। यह रणनीति पारंपरिक सैंडबॉक्स विस्फोट को बेकार कर देती है। एक स्वचालित मैलवेयर विश्लेषण प्लेटफ़ॉर्म कभी भी वास्तविक BINDCLOAK इम्प्लांट को नहीं देख पाएगा क्योंकि इसमें कोड को अनलॉक करने के लिए आवश्यक अद्वितीय हार्डवेयर पहचानकर्ता की कमी होती है। लक्ष्यीकरण का यह स्तर अवसरवादी संक्रमण से उच्च-आश्वासन वाले सर्जिकल हमलों की ओर बदलाव को दर्शाता है। तर्क एक ऐसे मॉडल में बदल जाता है जहाँ हमलावर अंतिम पेलोड वितरित होने से पहले ही लक्ष्य के बुनियादी ढांचे को जानता है।

BINDCLOAK इम्प्लांट का विश्लेषण

घुसपैठ का अंतिम चरण BINDCLOAK है, जो दीर्घकालिक टोही और डेटा चोरी के लिए डिज़ाइन किया गया एक 64-बिट C++ इम्प्लांट है। यह cert.hypersnet[.]com पर स्थित एक विशिष्ट बाहरी सर्वर के साथ संचार करता है। क्षेत्र में देखी गई पोस्ट-कॉम्प्रोमाइज गतिविधि में व्यापक सिस्टम और उपयोगकर्ता टोही शामिल थी। C2 ऑपरेटर ने आंतरिक नेटवर्क को मैप करने और उच्च-मूल्य वाली संपत्तियों की पहचान करने के लिए कमांड निष्पादित किए। अंतिम इम्प्लांट के लिए 64-बिट आर्किटेक्चर का उपयोग बताता है कि हमलावर आधुनिक सर्वर वातावरण का अनुमान लगाते हैं और विरासत 32-बिट सिस्टम के साथ संगतता पर स्थिरता को प्राथमिकता देते हैं। पूरा ऑपरेशन एक अनकहे सहयोगी के रूप में विशेषज्ञता की कमी पर निर्भर करता है। हमलावर यह मान लेते हैं कि SOC विश्लेषक टेलीग्राम ट्रैफ़िक को अनदेखा कर देंगे या एक वैध विंडोज प्रक्रिया की जांच करने में विफल रहेंगे जो एक संदिग्ध DLL को साइडलोड कर रही है।

उद्यम के लिए संरचनात्मक निहितार्थ

पारंपरिक परिधि रक्षा (perimeter defense) समाप्त हो चुकी है क्योंकि परिधि अब किसी भी विश्वसनीय API तक फैली हुई है। जब कोई हमलावर टेलीग्राम या इसी तरह के प्लेटफॉर्म का उपयोग करता है, तो वे फ़ायरवॉल को बायपास नहीं कर रहे होते हैं; वे एक वैध पास के साथ मुख्य दरवाजे से अंदर आ रहे होते हैं। यह अभियान प्रदर्शित करता है कि सिग्नेचर-आधारित EDR अपर्याप्त है। यदि कोई सुरक्षा उपकरण DLL लोड के संदर्भ या रैम गति के लिए WMI क्वेरी की वैधता को नहीं समझता है, तो यह एक ब्लाइंड स्पॉट है। एक DMZ एक सामान्य क्षेत्र नहीं है, बल्कि एक व्यक्तिगत एकांत सेल है। संगठनों को एक ऐसी वास्तुकला अपनानी चाहिए जहाँ हर प्रक्रिया तब तक अविश्वसनीय हो जब तक वह अपनी पहचान और इरादे को साबित न कर दे। अनसेगमेंटेड लेगेसी एक खुला दरवाजा है, और मध्य पूर्वी सरकारी लक्ष्यों के मामले में, वह दरवाजा इस धारणा से खुला छोड़ दिया गया था कि हस्ताक्षरित निष्पादन योग्य फाइलें स्वाभाविक रूप से सुरक्षित होती हैं।

सुरक्षा नेताओं के लिए कार्य योजना

CISO और CTO नेतृत्व को प्रतिक्रियाशील पैचिंग से सक्रिय संरचनात्मक लचीलेपन (architectural resilience) की ओर बढ़ना चाहिए। इस विशिष्ट खतरे के लिए अगले 6 से 12 महीनों में बहु-स्तरीय प्रतिक्रिया की आवश्यकता है। महीने में एक बार पैच प्रबंधन की लय एक विलासिता थी जिसे ये लक्ष्य वहन नहीं कर सकते थे। निम्नलिखित कदम शमन के लिए एक रोडमैप प्रदान करते हैं:

• DLL लोडिंग नीतियों का ऑडिट करें: उपयोगकर्ता-लिखने योग्य निर्देशिकाओं में स्थित अहस्ताक्षरित DLL या लाइब्रेरी के लोडिंग को प्रतिबंधित करने के लिए Windows AppLocker या Windows Defender Application Control (WDAC) लागू करें। यह सीधे TELESHIM द्वारा उपयोग की जाने वाली साइड-लोडिंग तकनीक का मुकाबला करता है।
• API ट्रैफ़िक की निगरानी करें: नेटवर्क के भीतर टेलीग्राम और अन्य मैसेजिंग API उपयोग के लिए एक बेसलाइन स्थापित करें। सिस्टम प्रक्रियाओं या सेवा खातों द्वारा इन प्लेटफार्मों का कोई भी उपयोग समझौते का एक उच्च-सटीकता संकेतक है।
• WMI गतिविधि को बेसलाइन करें: गैर-मानक WMI प्रश्नों पर सचेत करने के लिए EDR टूल कॉन्फ़िगर करें, विशेष रूप से रैम गति या डिस्क सीरियल नंबर जैसे हार्डवेयर विनिर्देशों से संबंधित। ये एंटी-एनालिसिस रूटीन के सामान्य संकेतक हैं।
• माइक्रोसेगमेंटेशन लागू करें: सामान्य नेटवर्क से महत्वपूर्ण प्रशासनिक वर्कस्टेशन को अलग करें। लेटरल मूवमेंट BINDCLOAK इम्प्लांट का प्राथमिक लक्ष्य है, और सख्त आंतरिक विभाजन एक संक्रमित होस्ट के प्रभाव क्षेत्र को कम करता है।
• लक्षित पेन्टेस्ट (pentests) आयोजित करें: एक रेड-टीम अभ्यास शुरू करें जो विशेष रूप से एनवायर्नमेंटल कीइंग और विश्वसनीय-प्लेटफ़ॉर्म C2 का उपयोग करने का प्रयास करता है। यह परीक्षण करता है कि क्या वर्तमान SOC स्टैक उस गतिविधि की पहचान कर सकता है जो वैध ट्रैफ़िक की नकल करती है।

लक्षित खतरों की नई वास्तविकता

वर्तमान खतरे के माहौल में उत्तरजीविता वास्तुकला और गति पर निर्भर करती है। TELESHIM अभियान साबित करता है कि हमलावर सरल कारनामों से आगे बढ़कर परिष्कृत सॉफ्टवेयर इंजीनियरिंग और पर्यावरणीय जागरूकता के दायरे में चले गए हैं। लक्ष्य हर उल्लंघन को रोकना नहीं है। लक्ष्य यह सुनिश्चित करना है कि हमलावर की आवाजाही और संचार करने की क्षमता को सीमित करके एक समझौता आपदा न बन जाए। जो संगठन हस्ताक्षरित फ़ाइलों की प्रतिष्ठा या ज्ञात डोमेन के HTTPS ट्रैफ़िक की सुरक्षा पर भरोसा करते हैं, वे अनिवार्य रूप से इस वर्ग के विरोधी के खिलाफ रक्षाहीन हैं। जीरो-ट्रस्ट आर्किटेक्चर में सत्यापन ही एकमात्र मुद्रा है जो मायने रखती है।

स्रोत: Zscaler ThreatLabz, Microsoft Security Response Center, CISA Technical Alerts.

अस्वीकरण: यह लेख केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है और पेशेवर साइबर सुरक्षा ऑडिट या घटना प्रतिक्रिया सेवा का स्थान नहीं लेता है।