Der Fall: Iranische Spionage-Malware mit Telegram-Fernsteuerung
Am 15. September haben NCSC (UK), FBI und die niederländische AIVD gemeinsam eine Malware-Familie öffentlich gemacht, die auf das iranische Ministry of Intelligence and Security (MOIS) zurückgeführt wird. Das FBI nennt sie HEAVYGRAM, das NCSC CHOSEN BRICK. Die Kampagne läuft seit Herbst 2023 und richtet sich gegen Dissidenten, Journalisten und Aktivisten in Großbritannien, den USA, den Niederlanden und weltweit. Das Besondere: Die Malware wird komplett über die Telegram-App gesteuert – jeder infizierte Rechner bekommt seinen eigenen Telegram-Bot als Command-and-Control-Kanal.
Der Angriffsweg beginnt klassisch mit Social Engineering: Die Angreifer geben sich als Bekannte oder als Support eines Messengers aus und schicken eine Datei, die als legitime Software getarnt ist – etwa als KeePass, Norton Antivirus, Adobe Flash Player, die KI-App Pictory oder sogar als MRI-Befund. Beim Öffnen erscheint ein glaubwürdiger Fake-Bildschirm, während im Hintergrund die eigentliche Malware installiert wird. Eine zweite Stufe verbindet den Rechner dann mit dem Telegram-Bot der Angreifer.
Warum Angreifer Messenger- und Cloud-Dienste als C2-Kanal missbrauchen
Der Trick dahinter ist simpel und genau deshalb so wirksam: api.telegram.org ist eine legitime, TLS-verschlüsselte Domain, die in praktisch jedem Unternehmensnetz erlaubt ist. Wer würde schon Telegram-Traffic blockieren, wenn Mitarbeiter den Dienst für private Kommunikation nutzen? Genau diese Normalität nutzen Angreifer aus. Der C2-Traffic verschwindet im Grundrauschen legitimer Cloud- und Messenger-Kommunikation, IP-Reputationslisten greifen nicht, weil die Zieldomain seriös ist, und klassische Signaturerkennung versagt, weil der Payload verschlüsselt über eine Standard-API läuft. Zusätzlich exfiltriert die Malware Daten über Cloud-Storage-Anbieter wie Vultr, Storj und Backblaze B2 – ebenfalls Dienste, die in vielen Firewalls unauffällig durchgewunken werden.
Technische Funktionsweise: Telegram Bot-API als Steuerkanal
Persistenz und Tarnung
Damit die Malware jeden Neustart übersteht, trägt sie sich in den Registry-Autostart ein – beobachtete Schlüsselnamen sind SMQDService oder winappx. Zusätzlich weist sie den eingebauten Microsoft Defender an, bestimmte Ordner von der Prüfung auszunehmen, etwa einen Ordner unter C:\Windows \SysWOW64 mit einem eingefügten Leerzeichen im Pfad – ein klassischer Trick, um Analysten und Scanner zu verwirren.
Fähigkeiten und Exfiltration
Über den individuellen Telegram-Bot lassen sich laufende Prozesse auflisten, Screenshots erstellen, das Mikrofon aktivieren, Telegram- und WhatsApp-Daten aus dem Browser sowie gespeicherte Passwörter und E-Mail-Adressen stehlen, weitere Tools nachladen und Dateien löschen. Mindestens eine Version kann den Rechner komplett wipen. Neuere Varianten routen den Telegram-Traffic zusätzlich über Proxy-Dienste wie iproyal.com oder lightningproxies.net, um die Spur weiter zu verschleiern.
Warum klassische Signatur- und IP-basierte Abwehr hier oft versagt
Antivirus-Signaturen erkennen bekannte Dateihashes – die Angreifer ändern Dateinamen und Ordnerstrukturen jedoch laufend. IP-Blocklisten greifen nicht, weil Telegram-Server ständig wechseln und der Dienst selbst nicht bösartig ist. Und Deep-Packet-Inspection auf Protokollebene bringt wenig, weil der komplette Traffic TLS-verschlüsselt über eine offizielle API läuft, die technisch identisch aussieht wie jede andere Telegram-Nutzung. Genau hier liegt der Kern des Problems: Es geht nicht darum, „böse“ Verbindungen zu erkennen, sondern unerwartetes Verhalten auf einer eigentlich legitimen Verbindung.
Erkennungsansätze im Unternehmensnetzwerk
Auf konkrete Indicators of Compromise prüfen
Die Behörden nennen explizite Netzwerk-Indikatoren, nach denen sich in Proxy- und Firewall-Logs suchen lässt: api.telegram.org (in Kombination mit ungewöhnlichem Client-Verhalten), vultrobjects.com, storjshare.io, backblazeb2.com, iproyal.com und lightningproxies.net. Ergänzend lohnt sich die Suche nach den genannten Mutex-Namen (ytyjyujyu, noi672pp434awkc12f) über EDR-Telemetrie sowie nach dem verdächtigen Pfad mit Leerzeichen unter SysWOW64.
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" |
Where-Object { $_.Message -match "api.telegram.org|vultrobjects.com|storjshare.io" } |
Select-Object TimeCreated, Id, MessageProxy-Logs gezielt auswerten
Wer einen Web-Proxy oder eine Next-Gen-Firewall mit TLS-Inspection betreibt, sollte gezielt nach Clients suchen, die regelmäßig kleine, gleichförmige Requests an api.telegram.org schicken – ein typisches Polling-Muster von C2-Bots, das sich von normaler Chat-Nutzung unterscheidet. Kombiniert mit DNS-Monitoring (siehe auch unseren Artikel zu DNS-Sperren) lassen sich Anomalien im Zeitverlauf gut sichtbar machen. Wichtig: Verschlüsseltes DNS wie DNS over HTTPS kann diese Sichtbarkeit erschweren – ein Punkt, den wir bereits in unserem Beitrag zu DNS over HTTPS in Windows 11 eingeordnet haben.
Rolle von Microsoft Defender for Endpoint und Defender for Cloud Apps
Defender for Endpoint kann verdächtige Registry-Autostart-Einträge, Defender-Exclusions und Prozessverhalten (Screenshot-APIs, Mikrofonzugriff durch untypische Prozesse) über Verhaltensregeln erkennen, unabhängig davon, ob der C2-Kanal Telegram, Discord oder ein anderer Dienst ist. Defender for Cloud Apps kategorisiert Cloud- und Messenger-Dienste und kann darauf basierend Zugriffsrichtlinien durchsetzen – etwa Telegram als „nicht sanktionierte“ App markieren und den Traffic blockieren oder nur lesend zulassen. Für eine vollständige Sichtbarkeit braucht es aber immer die Kombination aus Endpoint-Telemetrie und Netzwerk-Logs, ein einzelnes Tool reicht selten aus.
Sollte man Telegram & Co. im Unternehmensnetz generell sperren?
Eine pauschale Sperre ist verlockend, aber nicht immer praktikabel: In manchen Branchen ist Telegram ein legitimer Kommunikationskanal mit Kunden oder Partnern. Realistischer ist ein abgestuftes Vorgehen: Auf verwalteten Geräten mit sensiblen Daten (Führungskräfte, IT-Admins, Entwicklung) Messenger-Apps grundsätzlich blockieren oder nur über eine kontrollierte Web-App zulassen, in weniger kritischen Bereichen überwachen statt blockieren. Entscheidend ist, dass die Entscheidung bewusst getroffen und dokumentiert wird, nicht implizit „weil es schon immer erlaubt war“.
Firewall- und Proxy-Konfiguration: Messenger-Traffic blockieren oder überwachen
Auf Windows-Ebene lässt sich ausgehender Traffic zu bekannten Telegram-API-Endpunkten testweise per PowerShell blocken:
New-NetFirewallRule -DisplayName "Block Telegram API" `
-Direction Outbound -Action Block `
-RemoteAddress (Resolve-DnsName api.telegram.org).IPAddressDa sich IP-Adressen ändern, ist eine DNS- oder FQDN-basierte Regel auf Firewall- bzw. Proxy-Ebene deutlich robuster. Auf einer klassischen Perimeter-Firewall oder einem Proxy sollte die Regel nicht nur blocken, sondern zunächst loggen, um den tatsächlichen Business-Bedarf zu ermitteln, bevor produktiv gesperrt wird. Ergänzend hilft Application Allowlisting (AppLocker oder WDAC), damit unbekannte ausführbare Dateien aus Downloads gar nicht erst starten – unabhängig davon, als welche App sie sich tarnen.
Zero Trust und Segmentierung als zusätzliche Verteidigungslinie
Selbst wenn ein Endpunkt kompromittiert wird, sollte der Schaden begrenzt bleiben. Netzwerksegmentierung verhindert, dass sich Malware lateral ausbreitet, auch wenn im aktuellen Fall keine Selbstverbreitung beobachtet wurde. Zero-Trust-Prinzipien – jede Verbindung authentifizieren, geringstmögliche Rechte, kontinuierliche Verifizierung – reduzieren zusätzlich die Angriffsfläche, falls ein Gerät initial über einen privaten Kanal (BYOD, Homeoffice) kompromittiert wird und danach versucht, ins Unternehmensnetz vorzudringen.
Checkliste: Sofortmaßnahmen und langfristige Strategie
- Proxy- und Firewall-Logs rückwirkend nach den genannten Domains und IOCs durchsuchen
- Registry-Autostart-Einträge (SMQDService, winappx) auf verdächtigen Endpunkten prüfen
- Phishing-resistente MFA für alle Konten aktivieren
- Application Allowlisting auf verwalteten Geräten einführen
- Defender for Cloud Apps zur Kategorisierung und Steuerung von Messenger-Traffic nutzen
- Regeln für Messenger-API-Traffic definieren: blocken, loggen oder einschränken – je nach Nutzergruppe
- Mitarbeiter für Phishing über Datei-Anhänge sensibilisieren (siehe auch Power-Up gegen Phishing-Angriffe)
- SOC-Prozesse etablieren, die solche Anomalien überhaupt erkennen können (dazu mehr in unserem Leitfaden zum SOC)
FAQ
Was ist Telegram C2 Malware?
Damit ist Schadsoftware gemeint, die nicht über einen klassischen eigenen Server, sondern über die Telegram Bot-API gesteuert wird. Befehle und gestohlene Daten laufen über einen Telegram-Bot, den die Angreifer kontrollieren.
Wie erkenne ich, ob mein System mit Telegram-gesteuerter Malware infiziert ist?
Prüfe den Registry-Autostart auf verdächtige Einträge wie SMQDService oder winappx, kontrolliere Proxy-Logs auf ungewöhnliche, regelmäßige Verbindungen zu api.telegram.org und suche nach Ordnern mit auffälligem Leerzeichen im Pfad unter SysWOW64.
Kann man Telegram im Firmennetzwerk einfach blockieren?
Technisch ja, über Firewall- oder Proxy-Regeln auf Domain- bzw. Anwendungsebene. Ob das sinnvoll ist, hängt vom tatsächlichen Business-Bedarf ab – eine Blockade sollte bewusst entschieden und nicht pauschal umgesetzt werden.
Reicht klassisches Antivirus gegen solche C2-Kanäle aus?
Nein. Da der Traffic über eine legitime, verschlüsselte API läuft und sich Dateinamen laufend ändern, braucht es zusätzlich Netzwerküberwachung, EDR-Verhaltenserkennung und Cloud-App-Sicherheit, um solche Kanäle zuverlässig zu erkennen.