DarkBlinders פגעה במטרה ישראלית ובסביבת ענן ממשלתית כורדית

חוקרי אבטחת סייבר חשפו קמפיין ריגול סייברי של שחקן איומים המזוהה עם איראן, שכוון לישראל ולאזור כורדיסטן בעיראק בין אוגוסט לאוקטובר 2026. לפי Dream Research Labs, הפעילות כללה פריצה לאדם בכיר בישראל ופגיעה בסביבת ענן ממשלתית באזור כורדיסטן. הקמפיין יוחס ל-DarkBlinders, קבוצה שהוערכה כפעילה מאז ספטמבר 2024 לפחות.

שיוך ומטרות

Dream Research Labs ייחסה את הקמפיין ל-DarkBlinders, קבוצה הקשורה לאיראן ומקושרת להתקפות על תשתיות תעופה וטלקומוניקציה באיחוד האמירויות הערביות ובעיראק. לפי הדוח, הקבוצה אינה מציגה חפיפה טכנית עם קבוצות תקיפה ידועות אחרות. הממצאים האחרונים מראים ש-DarkBlinders ממשיכה להסתמך על הנדסה חברתית, תוך שילוב של דיוג פרטי התחברות עם הפצת תוכנות זדוניות.

הנדסה חברתית והפצת תוכנות זדוניות

שרשרות תקיפה שתועדו בעבר על ידי Elastic Security Labs ו-Group-IB הובילו ל-SHELBYLOADER, המוכר גם כ-HOTAIR, שמופעל באמצעות DLL sideloading כדי להריץ דלת אחורית בשם SHELBYC2, הידועה גם כ-AEROSTAT. SHELBYC2 משתמשת ב-GitHub לצורכי שליטה ובקרה, חילוץ נתונים ושליטה מרחוק, ו-Elastic עוקבת אחר האשכול בשם REF8685. Palo Alto Networks תיארה אף היא קמפיין בשם Blinder Tunnel, שבו השחקן שהיא מכנה CL-STA-1178 התחזה למחלקת ה-IT של נמלי התעופה של דובאי כדי להפיץ אתגרי קידוד נגועים בתוכנה זדונית למטרות בעלות ערך גבוה. תוכנית הגיוס המזויפת זוהתה לראשונה בסוף מרץ 2026, אך הראיות מצביעות על כך שהתוקפים הכינו ובדקו תשתיות כבר מנובמבר 2025.

קמפיין ההנדסה החברתית פנה למטרות ספציפיות עם הצעות עבודה ופיתה אותן להריץ יישום שדימה פורטל קריירה וביקש מהן למלא שאלון. השאלון שימש פיתיון לא מזיק לבניית אמינות לפני מסירת ארכיון פרויקט של Microsoft Visual Studio שהוסווה כמבחן קידוד. שרשרת התקיפה עשתה שימוש בקובץ C# .csproj זדוני כדי להפעיל הזרקת AppDomainManager, ולאחר מכן ב-DLL sideloading כדי להעביר גרסה מעודכנת של ShelbyLoader V2, שהפעילה את SHELBYC2. SHELBYC2 פרשה גם כלי מינהור בשם Blackwood.

דומיינים לדיוג ותוכנה מזויפת

לפי Dream, שחקן האיומים השתמש בדומיינים מתחזים לשירותי ממשל, לשירותי דואר אינטרנט ולשירותי ענן כדי לאסוף פרטי התחברות או להציג הורדות קבצים הנשלטות בידי התוקף. בין הדומיינים שהודגשו בדוח: gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx ו-moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O. השחקן הקים גם דומיינים מתחזים למותג עבור אפליקציית ועידת וידאו מזויפת בשם StarkMeet: stark-meet[.]com, stark-meet[.]online ו-stark-meet[.]website. לפי הדוח, התקנה והפעלה של האפליקציה מובילות להרצה של ShelbyLoader V2 ושל SHELBYC2.

קשרים תפעוליים

לפי Dream, DarkBlinders שייכת לאותו אשכול תפעולי כמו UNC5795 ו-Dust Specter, בהתבסס על חפיפות בתשתיות ובתוכנות זדוניות. Dust Specter, שתועדה על ידי Zscaler במרץ 2026, מתייחסת לפעילות חשודה הקשורה לאיראן שמטרתה פקידים ממשלתיים בעיראק, באמצעות התחזות למשרד החוץ של המדינה. הדוח העריך בביטחון בינוני ש-UNC5795 ו-UNC5187 עשויים להיות תת-אשכולות קשורים בתוך קבוצת APT34 הרחבה יותר, והוסיף כי ההתמקדות החופפת שלהן בגופים ממשלתיים עיראקיים מצביעה על עניין משותף באיסוף מודיעין.

מקורות: The Hacker News