Автор обратил внимание на использование API Telegram стронним приложением. Получается интересный детект, тк атакующие 😎 часто используют чаты, видеохостинги и cdn для получения комманд и эксфильтрации.
У Elastic есть более общее правило в котором обнаруживается использование следующих ресурсов, понятно, что под каждую инфраструктуру список будет меняться, но есть почти 💯 варианты:
raw.githubusercontent.*
pastebin.*
paste4btc.com
paste.ee
ghostbin.com
drive.google.com
?.docs.live.net
api.dropboxapi.*
content.dropboxapi.*
dl.dropboxusercontent.*
api.onedrive.com
*.onedrive.org
onedrive.live.com
filebin.net
*.ngrok.io
ngrok.com
*.portmap.*
*serveo.net
*localtunnel.me
*pagekite.me
*localxpose.io
*notabug.org
rawcdn.githack.*
paste.nrecom.net
zerobin.net
controlc.com
requestbin.net
slack.com
api.slack.com
slack-redir.net
slack-files.com
cdn.discordapp.com
discordapp.com
discord.com
apis.azureedge.net
cdn.sql.gg
?.top4top.io
top4top.io
www.uplooder.net
*.cdnmegafiles.com
transfer.sh
gofile.io
updates.peer2profit.com
api.telegram.org
t.me
meacz.gq
rwrd.org
*.publicvm.com
*.blogspot.com
api.mylnikov.org
file.io
stackoverflow.com
*files.1drv.com
api.anonfile.com
*hosting-profi.de
ipbase.com
ipfs.io
*up.freeo*.space
api.mylnikov.org
script.google.com
script.googleusercontent.com
api.notion.com
graph.microsoft.com
*.sharepoint.com
mbasic.facebook.com
login.live.com
api.gofile.io
api.anonfiles.com
api.notion.com
api.trello.com
gist.githubusercontent.com
files.pythonhosted.org
g.live.com
*.zulipchat.com
webhook.site
run.mocky.io
mockbin.org
www.googleapis.com
googleapis.com
global.rel.tunnels.api.visualstudio.com
*.devtunnels.ms
#ttp@detectioneasy
#report@detectioneasy
