Un canale comandi Telegram è un percorso di messaggistica controllato dall'attaccante usato per inviare istruzioni al malware o ricevere lo stato dai sistemi compromessi. Invece di connettersi a un server personalizzato di command-and-control, il malware controlla i messaggi, i bot o l'attività dei gruppi su Telegram alla ricerca di comandi. Questo può confondersi nel traffico normale perché Telegram è un servizio legittimo e ampiamente utilizzato.
È importante nella sicurezza informatica perché riduce la necessità di infrastrutture controllate dall'attaccante e può rendere più difficile il filtraggio. Se un difensore blocca un dominio sospetto, il malware può comunque comunicare tramite API di messaggistica o su HTTPS crittografato verso una piattaforma pubblica. In attacchi reali, questo canale può trasportare comandi come scaricare, eseguire, aggiornare o esfiltrare. Le difese includono il monitoraggio di accessi insoliti a Telegram dai server, la restrizione dei servizi di messaggistica in uscita ove possibile, l'ispezione dei log del proxy alla ricerca di un uso anomalo delle API e la correlazione dell'attività degli endpoint con la telemetria di rete per individuare percorsi di controllo nascosti.