DarkBlinders يخترق هدفاً إسرائيلياً وبيئة سحابية حكومية في كردستان

كشف باحثون في الأمن السيبراني عن حملة تجسس إلكتروني نفذها فاعل تهديد مرتبط بإيران، واستهدفت إسرائيل وإقليم كردستان في العراق بين أغسطس وأكتوبر 2026. وبحسب Dream Research Labs، فإن النشاط خرق شخصية بارزة في إسرائيل وأثر أيضاً في بيئة سحابية حكومية في إقليم كردستان. وُنسبت الحملة إلى DarkBlinders، وهي مجموعة تُقيَّم بأنها نشطة منذ سبتمبر 2024 على الأقل.

الإسناد والأهداف

أسندت Dream Research Labs الحملة إلى DarkBlinders، وهي مجموعة مرتبطة بإيران ومرتبطة بهجمات على بنية الطيران وشبكات الاتصالات في الإمارات العربية المتحدة والعراق. وقال التقرير إن المجموعة لا تظهر تداخلاً تقنياً مع مجموعات اختراق معروفة أخرى. وتشير أحدث النتائج إلى أن DarkBlinders تواصل استخدام الهندسة الاجتماعية مع الجمع بين تصيّد بيانات الاعتماد وتسليم البرمجيات الخبيثة.

الهندسة الاجتماعية وتسليم البرمجيات الخبيثة

أدت سلاسل الهجوم الموثقة سابقاً من Elastic Security Labs وGroup-IB إلى SHELBYLOADER، المعروف أيضاً باسم HOTAIR، الذي يُطلق عبر DLL sideloading لتنفيذ باب خلفي يُسمى SHELBYC2، المعروف أيضاً باسم AEROSTAT. يستخدم SHELBYC2 منصة GitHub لأغراض التحكم والسيطرة، وسرقة البيانات، والتحكم عن بُعد، وElastic تتبع المجموعة باسم REF8685. كما وصفت Palo Alto Networks حملة باسم Blinder Tunnel، فيها تظاهر الفاعل الذي تسميه CL-STA-1178 بأنه قسم تقنية المعلومات في Dubai Airports لتوزيع تحديات برمجية ملوّثة بالبرمجيات الخبيثة على أهداف عالية القيمة. وكُشف مخطط التوظيف الزائف لأول مرة في أواخر مارس 2026، بينما تشير الأدلة إلى أن المهاجمين كانوا يجهّزون ويختبرون البنية التحتية منذ نوفمبر 2025.

استهدفت حملة الهندسة الاجتماعية أهدافاً محددة بعروض عمل، وخدعتهم لتشغيل تطبيق يحاكي بوابة توظيف ويطلب منهم إكمال استبيان. وعمل الاستبيان كخدعة بريئة لبناء المصداقية قبل تسليم أرشيف مشروع Microsoft Visual Studio مُزيَّن كتقييم برمجي. واستخدمت سلسلة الهجوم ملف C# .csproj خبيثاً لتفعيل AppDomainManager injection، ثم DLL sideloading لتسليم ShelbyLoader V2 محدّث، الذي أطلق بدوره SHELBYC2. كما نشر SHELBYC2 أداة إنشاء أنفاق باسم Blackwood.

نطاقات تصيّد وبرامج مزيفة

أفادت Dream أن فاعل التهديد استخدم نطاقات تشبه نطاقات الحكومة وخدمات البريد الإلكتروني وخدمات السحابة لجمع بيانات الاعتماد أو عرض تنزيلات ملفات يتحكم فيها المهاجم. وشملت النطاقات المذكورة gcc-sg[.]cloud/owa/auth/logon.aspx وmfakuwait[.]online/owa/auth/logon.aspx وmoelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O. كما أنشأ الفاعل نطاقات علامات تجارية مزيفة لتطبيق مؤتمرات فيديو مزيف باسم StarkMeet على stark-meet[.]com وstark-meet[.]online وstark-meet[.]website. وبحسب التقرير، فإن تثبيت التطبيق وإطلاقه يؤدي إلى تنفيذ ShelbyLoader V2 وSHELBYC2.

روابط تشغيلية

قالت Dream إن DarkBlinders ينتمي إلى نفس المجموعة التشغيلية التي تضم UNC5795 وDust Specter، مستندة إلى تداخلات في البنية التحتية والبرمجيات الخبيثة. وDust Specter، التي وثّقتها Zscaler في مارس 2026، تشير إلى عملية يُشتبه بأنها مرتبطة بإيران، تستهدف مسؤولين حكوميين في العراق عبر انتحال صفة وزارة الخارجية في البلاد. وقيّم التقرير بثقة متوسطة أن UNC5795 وUNC5187 قد يمثلان مجموعات فرعية مرتبطة ضمن المجموعة الأكبر APT34، مضيفاً أن تركيزهما المتداخل على كيانات حكومية عراقية يشير إلى اهتمام مشترك بجمع المعلومات الاستخباراتية.

المصادر: The Hacker News