텔레그램을 C2로 악용한 신종 멀웨어 3종: TELESHIM·MIXEDKEY·BINDCLOAK 해부와 중동 정부기관 표적 APT

텔레그램은 전 세계 약 9억 명 규모 이용자를 보유한 합법적 메신저 서비스이지만, 동시에 오픈 API와 봇 기능을 제공한다는 특성 때문에 공격자의 C2 채널로 즐겨 악용되어 왔다. Zscaler ThreatLabz는 2026년 7월 초, 해당 봇 악용 사례들을 경향을 다시 한번 입증하는 캠페인을 식별하고 보고서를 공개했다. 이번 침해는 중동 정부 기관을 단일 표적으로 삼으면서 텔레그램 기반 C2와 신종 멀웨어 체인을 결합한 점에서 운영상의 시사점이 크다.

공격 개요: 텔레그램을 C2로 쓴 중동 정부 기관 표적 캠페인

캠페인 탐지 경위 및 위협 행위자 프로파일링

이번 캠페인은 Zscaler ThreatLabz가 2026년 7월 초에 탐지해 보고한 사안으로, The Hacker News가 2026년 7월 27일자 기사로 정례 정리했다. ThreatLabz는 다수의 맞춤 멀웨어 패밀리를 확인했으며, 이 중 3종이 신종이라고 보고했다. 위협 행위자는 동아시아와 연계된 집단으로 추정되며, 표적이 중동 정부 기관으로 좁혀져 있다는 점에서 지엽적인 스팸 활동이 아닌 목적 지향형 APT 캠페인으로 분류된다.

공격 흐름 (Initial Access → C2 → 데이터 유출 가능성)

아직 공개된 자료에는 초기 침투 벡터에 대한 단일 확정 사실이 제시되지 않았다. 다만 Zscaler 보고서와 SANS Internet Storm Center가 병행해서 요약한 내용을 종합하면, 다음과 같은 일반 흐름이 관측된 것으로 분석된다.

• 초기 침투(Initial Access): 정부 기관 직원을 대상으로 한 피싱, 악성 문서, 혹은 제3자 공급망 경로가 가장 유력한 시나리오로 거론된다.
• 안착(Establish Foothold): BINDCLOAK 계열이 시스템 상주와 위장 기능을 수행해 안티포렌식 흔적을 남긴 것으로 보인다.
• 명령통제(C2): TELESHIM이 텔레그램 봇 토큰과 API를 활용해 공격자 인프라와 암호화된 통신을 유지한다.
• 데이터 처리·유출(Exfiltration 가능성): MIXEDKEY가 키 관리 및 데이터 암호화 역할을 맡아, 유출 페이로드의 가독성을 낮추는 데 활용된 것으로 판단된다.

신종 멀웨어 패밀리 해부

TELESHIM: 텔레그램 API 기반 C2 통신

TELESHIM은 이번 캠페인의 핵심 모듈로, 텔레그램의 공식 Bot API를 호출해 명령을 수신하고 실행 결과를 전송한다. HTTPS 위의 정상 트래픽과 외형상 구별하기 어렵기 때문에 일반적인 웹 프록시 로그만으로는 식별이 매우 제한된다. ThreatLabz 분석에 따르면, 봇 토큰과 채팅 ID가 하드코딩된 형태의 변형이 발견됐으며, 향후 패밀리 확장이 가능하다는 분석이다.

MIXEDKEY: 키 관리 및 암호화 모듈

MIXEDKEY는 감염 호스트에서 사용되는 암호화 키의 생성, 보관, 회전을 담당하는 모듈로 추정된다. 데이터 유출 전 단계의 페이로드를 암호화하고, C2와 호스트 사이의 인증에도 관여하는 것으로 보인다. 이러한 모듈화 구조는 멀웨어 각 컴포넌트를 독립적으로 업데이트할 수 있게 해 주며, 탐지 우회 지속성을 높인다.

BINDCLOAK: 지속성 및 위장 기법

BINDCLOAK은 시스템 상주(레지스트리 또는 예약 작업 등록)와 정상 프로세스 위장 기능을 수행하는 모듈로 분석된다. 파일명을 운영체제 기본 유틸리티와 유사하게 설정해 목록형 탐지를 어렵게 만들고, 사용자 계정 컨트롤(UAC) 우회 흔적도 함께 관측된 것으로 보고된다. 결과적으로 침해 사실을 사후에 인지하기 어렵게 만드는 것이 주된 역할로 판단된다.

영향 범위와 위험도 평가

중동 정부 기관 대상 영향 시나리오

중동 지역의 정부 기관은 외교, 에너지, 안보 등 다국적 이해관계가 교차하는 데이터를 다룬다. 본 캠페인의 직접 표적이 중동 정부 기관으로 좁혀진 만큼, 외교 문서, 정책 의사결정 자료, 인적 네트워크 정보 등이 유출 대상이 될 가능성이 거론된다. 다만 실제 유출 사실은 아직 공식 확인되지 않았으므로, 본문에서는 가능한 영향 시나리오로 분류해 서술한다.

초기 접근 경로 및 확산 가능성

공개된 사실에 따르면 초기 침투 경로가 단일 확정되지는 않았지만, Zscaler 보고서는 신종 멀웨어 패밀리 다수가 동반되었다는 점을 분명히 했다. 이는 단순히 표적 단일 조직에 머무르지 않고, 같은 도구 체인을 활용해 다수 기관에 동시 침투를 시도할 가능성을 시사한다. 동아시아 연계 위협 행위자의 과거 캠페인에서도 멀웨어 체인 공유가 빈번히 관측된 점을 고려하면, 확산 위험은 결코 낮다고 보기 어렵다.

TELESHIM 캠페인 멀웨어 패밀리 비교

패밀리	역할	핵심 기법	주요 위험
TELESHIM	명령통제(C2)	텔레그램 Bot API 호출	정상 SaaS 트래픽으로 위장
MIXEDKEY	키 관리 및 암호화	키 생성·회전, 페이로드 암호화	유출 데이터 가독성 저하
BINDCLOAK	지속성 및 위장	레지스트리 상주, 정상 프로세스 모방	장기 은신 및 안티포렌식

탐지·대응 가이드

네트워크: 텔레그램 API·봇 트래픽 모니터링 포인트

텔레그램 기반 C2는 정상 메시징 트래픽과 구별이 어렵기 때문에, 다음의 신호(signal)를 우선적으로 모니터링해야 한다.

• 업무용으로 허용되지 않은 텔레그램 도메인(api.telegram.org, t.me 등)으로의 아웃바운드 호출이 비정상 시간대에 발생하는지 여부.
• 단일 호스트에서 짧은 시간 내 다수의 봇 토큰 문자열 패턴이 발견되는지 여부.
• User-Agent, TLS 핑거프린트, 접속 빈도 측면에서 일반 메신저 사용과 다른 클라이언트 특성이 나타나는지 여부.

호스트: 멀웨어 IoC(해시, 경로, 레지스트리) 점검

Zscaler가 공개한 침해지표(IoC)를 호스트 단에서 우선 점검해야 한다. Zscaler 보고서 원문과 SANS Internet Storm Center 일지를 함께 교차 확인하면 가장 신뢰도 높은 IoC 집합을 확보할 수 있다. 다만 공개된 해시·경로·레지스트리 키 값은 본 기사에서 모두 재현하지 않으며, 다음의 일반 점검 절차를 권장한다.

• 신규 작성된 예약 작업과 시작프로그램 레지스트리 항목 중 출처가 불분명한 항목을 주기적으로 감사한다.
• 시스템 디렉터리 내 정상 유틸리티명과 유사하지만 해시값이 다른 실행 파일을 식별한다.
• 프로세스 트리에서 svchost, explorer 등 자식 프로세스로 비정상 위치의 실행 파일이 등록된 사례를 탐지한다.

정책: SaaS 기반 C2 차단 및 사내 텔레그램 사용 통제

본 캠페인은 사내에서 텔레그램을 업무상 허용하는지 여부에 따라 노출도가 크게 달라진다. 다음과 같은 정책적 대응이 권장된다.

• 업무용 사내 망에서 텔레그램 도메인을 기본 차단하되, 예외가 필요한 부서는 별도 게이트웨이를 통해 통신을 가시화한다.
• EDR/XDR 솔루션에서 텔레그램 Bot API 호출을 프로세스 단위 이벤트로 수집하고, 이상 패턴을 자동 차단하도록 룰을 정비한다.
• 보안 관제팀과 일반 사용자 모두가 외부 메신저 사용에 대한 사내 가이드를 숙지하도록 정기 교육을 시행한다.

결론 및 향후 전망

TELESHIM 캠페인은 정상 클라우드 SaaS를 C2로 악용하는 위협 행위자의 기법이 이제 단일 실험 단계를 넘어, 신종 멀웨어 체인까지 동원되는成熟 단계에 진입했음을 보여준다. 특히 표적이 정부 기관으로 좁혀진 만큼, 향후 동아시아 연계 위협 행위자에 의한 유사 캠페인이 외교·에너지·안보 분야로 확산될 가능성에 주목할 필요가 있다. 보안 조직 입장에서는 텔레그램 같은 대중적 메신저에 대한 맹목적 허용 정책을 재검토하고, 네트워크 가시성과 호스트 기반 IoC 점검을 동시에 강화해야 한다.

핵심 포인트 정리

1. Zscaler ThreatLabz가 2026년 7월 초 텔레그램 기반 C2를 쓰는 신종 멀웨어 3종(TELESHIM, MIXEDKEY, BINDCLOAK)을 식별했다.
2. 공격 표적은 중동 정부 기관이며, 동아시아 연계 위협 행위자의 소행으로 추정된다.
3. 텔레그램 API 트래픽은 정상 SaaS와 구별이 어려워, 도메인 차단과 EDR/XDR 룰 보강이 핵심 통제 포인트다.
4. 호스트 단에서는 신종 멀웨어 IoC를 Zscaler 원문과 SANS Internet Storm Center에서 교차 확인 후 즉시 점검해야 한다.
5. 장기적으로는 메신저 사용 정책, 네트워크 가시성, 호스트 감시, 사용자 교육을 패키지로 묶은 다층 방어 전략이 필수다.