DarkBlinders İsrail hədəfini və İraq Kürdistan Regionunun hökumət bulud mühitini pozub

Kibertəhlükəsizlik tədqiqatçıları 2026-cı ilin avqust və oktyabr ayları arasında İsraili və İraqın Kürdistan Regionunu hədəf alan İran dövlətinə bağlı təhlükə aktorunun kiberkəşfiyyat kampaniyasını açıqlayıblar. Dream Research Labs məlumatına görə, fəaliyyət İsraildə yüksək profilli bir şəxsi pozub və Kürdistan Regionunda hökumət bulud mühitinə də təsir edib. Kampaniya ən azı 2024-cü il sentyabrdan aktiv olduğu qiymətləndirilən DarkBlinders qrupuna aid edilib.

Atribusiya və hədəfləmə

Dream Research Labs kampaniyanı Birləşmiş Ərəb Əmirlikləri və İraqda aviasiya infrastrukturu və telekommunikasiyalara hücumlarla əlaqəli İranla əlaqəli qrup olan DarkBlinders-ə aid edib. Hesabatda qrupun digər məlum haker qrupları ilə texniki üst-üstə düşməsi olmadığı bildirilib. Ən son nəticələr göstərir ki, DarkBlinders sosial mühəndislikdən istifadəni davam etdirir və eyni zamanda etimadnamə oğurluğu üçün fişinqi zərərli proqram çatdırılması ilə birləşdirir.

Sosial mühəndislik və zərərli proqram çatdırılması

Elastic Security Labs və Group-IB tərəfindən sənədləşdirilmiş əvvəlki hücum zəncirləri, HOTAIR kimi də tanınan SHELBYLOADER-in DLL sideloading vasitəsilə işə salınmasına və AEROSTAT kimi də tanınan SHELBYC2 adlı backdoor-un icrasına gətirib çıxarıb. SHELBYC2 əmr və nəzarət, məlumatların çıxarılması və uzaqdan idarə üçün GitHub-dan istifadə edir və Elastic klasteri REF8685 kimi izləyir. Palo Alto Networks həmçinin CL-STA-1178 adlandırdığı aktorun Dubay Hava Limanlarının İT şöbəsi kimi maskalanaraq yüksək dəyərli hədəflərə zərərli proqram əlavə edilmiş kodlaşdırma tapşırıqları payladığı Blinder Tunnel kampaniyasını təsvir edib. Saxta işə qəbul sxemi ilk dəfə 2026-cı ilin mart ayının sonlarında aşkarlanıb, sübutlar isə hücumçuların 2025-ci il noyabrından infrastrukturu hazırladığını və sınaqdan keçirdiyini göstərir.

Sosial mühəndislik kampaniyası xüsusi hədəflərə iş təklifləri ilə yaxınlaşaraq onları karyera portalını təqlid edən və anketi doldurmağı tələb edən bir tətbiqi işə salmağa aldadıb. Anket etibarlılıq yaratmaq üçün zərərsiz aldatma kimi xidmət edib, bundan sonra kodlaşdırma qiymətləndirməsi kimi təqdim olunan Microsoft Visual Studio layihə arxivi çatdırılıb. Hücum zənciri zərərli C# .csproj faylından AppDomainManager inyeksiyasını işə salmaq üçün istifadə edib, sonra isə yenilənmiş ShelbyLoader V2-ni çatdırmaq üçün DLL sideloading-dən istifadə edib və o da SHELBYC2-ni işə salıb. SHELBYC2 həmçinin Blackwood adlı tunelləmə utilitini yerləşdirib.

Fişinq domenləri və saxta proqram təminatı

Dream bildirib ki, təhlükə aktoru etimadnamələri toplamaq və ya hücumçunun nəzarət etdiyi fayl yükləmələrini təqdim etmək üçün hökumət, veb-poçt və bulud xidməti görünüşlü domenlərdən istifadə edib. Vurğulanan domenlərə gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx və moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O daxil idi. Aktor həmçinin stark-meet[.]com, stark-meet[.]online və stark-meet[.]website ünvanlarında StarkMeet adlı saxta video konfrans tətbiqi üçün aldatma brend domenləri qurub. Hesabata görə, tətbiqin quraşdırılması və işə salınması ShelbyLoader V2 və SHELBYC2-nin icrasına gətirib çıxarır.

Əməliyyat əlaqələri

Dream bildirib ki, DarkBlinders infrastruktur və zərərli proqram üst-üstə düşmələrinə əsaslanaraq UNC5795 və Dust Specter ilə eyni əməliyyat klasterinə aiddir. Zscaler tərəfindən 2026-cı il martında sənədləşdirilən Dust Specter İraqın Xarici İşlər Nazirliyini təqlid edərək İraqda hökumət rəsmilərini hədəf alan şübhəli İranla əlaqəli əməliyyatına aiddir. Hesabat orta etibarla UNC5795 və UNC5187-nin daha geniş APT34 qrupu daxilində əlaqəli alt klasterlər ola biləcəyini qiymətləndirib və onların İraq hökumət qurumlarına üst-üstə düşən fokusunun paylaşılan kəşfiyyat toplama marağını göstərdiyini əlavə edib.

Mənbələr: The Hacker News