Hackeři ovládají vládní systémy přes Telegram. Provoz vypadá jako normální chat, nikdo si ničeho nevšimne

Nový backdoor TELESHIM stahuje příkazy přes oficiální Telegram Bot API. Síťový dohled vidí jen běžný HTTPS provoz na api.telegram.org.

Zdroj fotografie: Pexels

Bezpečnostní tým Zscaler ThreatLabz 20. července 2026 zveřejnil analýzu kyberšpionážní kampaně mířené na vládní instituce na Blízkém východě. Klíčovým nástrojem útočníků je malware pojmenovaný TELESHIM, který nekomunikuje se žádným podezřelým serverem útočníka. Místo toho využívá oficiální rozhraní Telegram Bot API, tedy stejné rozhraní, přes které fungují tisíce legitimních chatbotů po celém světě. V praxi to znamená, že infikovaný vládní počítač posílá a přijímá šifrované HTTPS požadavky na adresu api.telegram.org, tedy na tutéž doménu, kam směřuje provoz běžných uživatelů Telegramu. Bez cílené detekce si toho síťový monitoring, bezpečnostní operační centrum ani správci nemusí všimnout, protože v logách vypadá komunikace malwaru jako běžný provoz.

Jak přesně TELESHIM ovládá napadený počítač

Celý mechanismus stojí na tom, že Telegram oficiálně nabízí jednoduché HTTP rozhraní pro boty. Útočníci si vytvořili vlastního bota, jehož token a identifikátor chatu mají zašifrované přímo v těle malwaru. Po spuštění na napadeném počítači TELESHIM udělá následující:

Získá identifikátor oběti podle MAC adresy síťového adaptéru, každý napadený stroj tak dostane unikátní identifikátor.
Přes metodu getUpdates si pravidelně stahuje zprávy z Telegram chatu, ve kterém útočník zadává příkazy.
Ověří, že příkaz je adresovaný právě tomuto stroji (podle MAC adresy), a pokud ano, spustí ho přes cmd.exe /C, tedy přes standardní příkazový řádek Windows.
Výstup příkazu zašifruje a pošle zpět útočníkovi jako zprávu v témže chatu.
Pokud útočník potřebuje na stanici dostat další škodlivý soubor, využije metodu getFile a soubor stáhne jako běžný dokument přes Telegram.

Persistence je zajištěna dvěma naplánovanými úlohami ve Windows: jedna s názvem shimgens se spouští každých šest minut, druhá pojmenovaná Feedback každých deset minut. Útočník tak má prakticky nepřetržitý přístup, aniž by musel generovat nápadný síťový provoz.

Proč je tak těžké útok odhalit

Tradiční kyberšpionážní malware komunikuje s vlastním řídicím serverem útočníka, s doménou nebo IP adresou, kterou mohou bezpečnostní firmy zablokovat, přesměrovat nebo označit jako škodlivou. TELESHIM tuto logiku obrací. Veškerá komunikace jde na api.telegram.org, tedy na legitimní infrastrukturu provozovanou Telegramem. Spojení je šifrované standardním HTTPS a malware navíc používá hlavičku User-Agent napodobující běžný webový prohlížeč.

Databáze MITRE ATT&CK tento vzorec popisuje jako zneužití legitimních webových služeb pro řídicí komunikaci. Útočníkům dává krytí hned dvakrát: zaprvé doména v logách nevypadá podezřele, zadruhé TLS šifrování brání inspekci obsahu bez pokročilé analýzy. Pokud organizace nesleduje konkrétně požadavky na api.telegram.org/bot* z počítačů, kde Telegram nemá co dělat, nemá důvod zpozornět. Ázerbájdžánský CERT ve svém doporučení z 22. července 2026 doporučil ověřovat jakýkoli provoz Telegram Bot API z vládních stanic, kde pro něj neexistuje provozní důvod.

Nejde přitom o žádnou novinku v principu. Zscaler ve svém loveckém průvodci HuntPedia připomíná starší malwary TeleRAT a IRRAT, které Telegram API zneužívaly obdobně. A v českém prostředí NÚKIB už v roce 2023 popsal kampaň proti diplomatickým cílům v Česku a Evropě, kde útočníci plánovali využít službu Notion jako kulisu pro řídicí komunikaci. Vzorec “řídicí server schovaný v legitimní cloudové službě” tedy není nový, jen se opakuje v nových variacích.

Kdo za kampaní stojí a na koho mířila

Zscaler veřejně uvádí pouze “vládní subjekt na Blízkém východě”, konkrétní státy ani instituce nejmenuje. Indicie ale prozrazují hodně o záměru útočníků. Návnady, kterými oběti lákali k otevření škodlivých souborů, nesly názvy jako “Protokol o spolupráci při průzkumu ropy a zemního plynu” nebo “Dohoda o zřízení společných hraničních úřadů”. Šlo tedy o cílený spear-phishing zaměřený na geopoliticky citlivou agendu, ne o masový spam.

Útočníka Zscaler přiřazuje se “střední až vyšší jistotou” k regionu východní Asie, a to na základě veřejné IP adresy, systémového lokálu napadeného stroje a pracovních hodin odpovídajících tamnímu časovému pásmu. Ke konkrétní známé APT skupině ale kampaň zatím nepřiřadil, důkazy stačí na regionální odhad, ne na spolehlivou atribuci.

Za zmínku stojí i další fáze útoku. Po TELESHIMu útočníci nasazují nástroj MIXEDKEY, který šifruje finální implantát pomocí sériového čísla disku oběti. Dešifrování tak funguje jen na zamýšleném stroji, sandbox nebo analytický počítač s jiným sériovým číslem payload nerozbalí. Finální implantát BINDCLOAK Zscaler zatím podrobně nepopsal a avizuje jeho rozbor v druhém díle analýzy.

Co to znamená pro Česko a jak se bránit

Technicky nic nebrání tomu, aby stejný postup zasáhl i české vládní instituce. Kampaň stojí na obecných Windows technikách (DLL sideloading, naplánované úlohy, odchozí HTTPS) a na zneužití služby, kterou řada organizací v odchozím provozu neomezuje. NÚKIB ve své analýze komunikačních aplikací z roku 2026 navíc upozorňuje, že Telegram má v některých oblastech slabší bezpečnostní model než někteří konkurenti: skupinové chaty nejsou ve výchozím nastavení šifrované end-to-end a data se ukládají na serverech provozovatele.

Praktická obrana proti tomuto typu útoku existuje a není složitá:

Na kritických serverech a vládních stanicích blokovat odchozí komunikaci na api.telegram.org/bot*, pokud pro ni neexistuje provozní důvod.
Omezit odchozí HTTPS jen na schválené domény, tedy princip whitelistu, který NÚKIB dlouhodobě doporučuje ve svých veřejných materiálech pro administrátory.
Centrálně logovat síťové události a aktivně hledat naplánované úlohy s neobvyklými názvy, DLL sideloading a beaconing na známé indikátory kompromitace.
Prověřovat jakýkoli Telegram Bot API provoz z prostředí, kde nemá co dělat.

Veřejné zdroje nedávají podklad pro tvrzení, že tato konkrétní červencová kampaň zasáhla Česko. Vzorec je ale českému prostředí známý a technické předpoklady pro jeho úspěch, tedy nedostatečné řízení odchozí komunikace, jsou univerzální.

Celá kampaň ukazuje jednu věc: nejnebezpečnější není Telegram jako aplikace, ale princip, kdy útočník schová řídicí komunikaci do služby, kterou síťový automatický dohled považuje za neškodnou. Dokud organizace neřeší, proč její server komunikuje s Bot API chatovací služby, bude tenhle trik fungovat, ať už přes Telegram, Notion, nebo cokoli dalšího.