📰 Source : Ransom-ISAC (ransom-isac.org), publié le 27 juillet 2026. Article de recherche documentant une méthodologie complète de collecte et d’analyse de renseignement sur les malwares utilisant l’API Telegram comme infrastructure C2.

🎯 Contexte

L’API Telegram Bot est massivement exploitée par des auteurs de malwares comme canal d’exfiltration et de commande/contrôle (C2). Le principe : un token bot et un chat_id embarqués dans le binaire permettent d’envoyer les données volées directement dans un chat Telegram via api.telegram.org, sans infrastructure propre à gérer. Cette même exposition permet à un analyste de récupérer ces credentials et d’interroger l’API pour obtenir des renseignements sur l’opérateur.

📊 Chiffres clés de la collection (snapshot au 31 décembre 2025)

  • 9 898 lignes d’observations collectées
  • 9 678 tokens bot uniques et 6 512 chats de destination distincts
  • 9 756 hashes de samples uniques
  • 854 campagnes d’opérateurs clusterisées via Union-Find
  • 185 lignes exposant une infrastructure webhook (pivot C2 secondaire)
  • 207 lignes avec données admin/créateur récupérées passivement
  • 6 783 lignes avec chat_id positif (= user_id personnel de l’opérateur)

🔧 Pipeline technique (6 étapes)

  1. Pivot VirusTotal : recherche des fichiers contactant api.telegram.org, extraction des URLs statiques et contacted_urls
  2. Extraction : regex sur token (/bot([^/]+)) et chat_id (chat_id=([^&]+)), validation via getMe
  3. Stockage : base PocketBase (Go binary, REST API)
  4. Enrichissement : interrogation passive de l’API Bot (getChat, getChatMemberCount, getChatAdministrators, getWebhookInfo, getMyCommands, getMyDescription, getChatMenuButton)
  5. Classification : labels VirusTotal (suggested_threat_label) + rapports tria.ge
  6. Clustering : Union-Find sur 8 clés de jointure (bot ID, chat_id, webhook URL, hash, creator user_id, description, menu URL, code affilié)

🦠 Familles dominantes

  • AsyncRAT (534 samples), XWorm (443), Jalapeno (548), AgentTesla (174), Loki (322)
  • Catégories : trojan (8 941), dropper (1 639), spyware (1 587), ransomware (804), banker (303)
  • Montée en puissance depuis mi-2024 : 190–270 nouveaux samples/mois, pic à 270 en mars 2025

🕵️ Études de cas d’attribution

Cas A — “Nudge” (Group-549) : Stalkerware GPS actif de mars 2016 à novembre 2019 (1 313 jours). Six bots livrant vers un seul chat, deux webhooks (script.google.com, cruke.org). Le chat_id positif expose directement le user_id personnel de l’opérateur.

Cas B — Géolocalisation : Analyse agrégée de la population d’opérateurs via scripts des noms de chats, drapeaux, TLDs et langue des descriptions. Résultat : noyau dominant russophone/ukrainien, présence secondaire arabe/perso-kurde.

Cas C — Evi-Crypto (Group-582) : MaaS de crypto-drainer TON découvert via menu_webapp_url pointant vers evicrypto.cc. Leurre “TON SPIN” (roue de prix), drainer TonConnect (obv2.js obfusqué), canal de preuves de paiement affiliés (@EviCrypto_cash, ~2 630 abonnés), manuels de fraude (@Evi_Manuals), académie payante (@evi_campus).

Cas D — MasRep : Service de takedown de comptes Telegram découvert via 15 bots partageant le webhook whok.dyxless.im. Description en homoglyphes coptes masquant du cyrillique. Infrastructure : dyxless.im (AS59692, IQWeb FZ-LLC), protégée par DDoS-Guard. Le service propose 3 attaques gratuites en échange de l’attachement d’un bot (récupération du token).

🌐 IOCs infrastructure notables

  • Webhooks malveillants : whok.dyxless.im, prohandiq.com, gofuck.marrkkshop.ru, meduza-lock.online, vtohowo.com, botelegram.work.gd, webhook.sherlock.st, w.sh3rlock.at, o-api.com
  • Infrastructure dyxless : dyxless.im → 103.249.70.43, api.dyxless.im → 103.249.70.46, whok.dyxless.im → 186.2.171.2

📌 Type d’article

Publication de recherche CTI à visée méthodologique et analytique, documentant une pipeline de collecte de renseignement sur les malwares Telegram-C2, avec études de cas d’attribution et partage de dataset proposé aux organisations de confiance et forces de l’ordre.

🧠 TTPs et IOCs détectés

TTP

  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1102.002 — Web Service: Bidirectional Communication (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1056.001 — Input Capture: Keylogging (Collection)
  • T1113 — Screen Capture (Collection)
  • T1125 — Video Capture (Collection)
  • T1560 — Archive Collected Data (Collection)
  • T1219 — Remote Access Software (Command and Control)
  • T1588.001 — Obtain Capabilities: Malware (Resource Development)

IOC

Malware / Outils

  • AsyncRAT (rat)
  • XWorm (rat)
  • AgentTesla (stealer)
  • NjRAT (rat)
  • StormKitty (stealer)
  • Jalapeno (stealer)
  • Loki (stealer)
  • NGate (other)
  • TonConnect Drainer (Evi-Crypto) (other)
  • Soulkcrypter (loader)
  • MasRep (tool)

🟡 Indice de vérification factuelle : 50/100 (moyenne)

  • ⬜ ransom-isac.org — source non référencée (0pts)
  • ✅ 59279 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 24 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/9 IOCs confirmés externellement (0pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://ransom-isac.org/blog/the-telegram-malware-ecosystem/