DarkBlinders-ը կոտրել է իսրայելական թիրախ և Իրաքի Քրդստանի կառավարության ամպային միջավայրը

Հետազոտողները բացահայտել են Իրանի հետ կապված սպառնալիքի գործողի կիբերլրտեսության արշավը՝ 2026 թ. օգոստոսից մինչև հոկտեմբեր, Իսրայելի և Իրաքի Քրդստանի դեմ։ Ըստ Dream Research Labs տվյալների՝ կոտրել են Իսրայելում բարձրաստիճան անձի համակարգերը, իսկ Քրդստանի կառավարության ամպային միջավայրը՝ ազդվել։ Արշավը վերագրվել է DarkBlinders խմբին, որը ակտիվ է առնվազն 2024 թ. սեպտեմբերից։

Վերագրում և թիրախներ

Dream Research Labs արշավը վերագրել է DarkBlinders խմբին՝ Իրանի հետ կապված խմբի, որը կապված է ԱՄԷ-ի և Իրաքի ավիացիոն ենթակառուցվածքների և հեռահաղորդակցության վրա հարձակումների հետ։ Խումբը տեխնիկական համընկնում չունի այլ հայտնի հաքերային խմբերի հետ։ Վերջին տվյալները ցույց են տալիս, որ DarkBlinders-ը շարունակում է սոցիալական ինժեներիան՝ համատեղելով հավատարմագրերի ֆիշինգը վնասակար ծրագրերի տարածման հետ։

Սոցիալական ինժեներիա և վնասակար ծրագրեր

Elastic Security Labs-ի և Group-IB-ի փաստագրած նախորդ հարձակման շղթաները հանգեցրել են SHELBYLOADER-ին (HOTAIR), որը գործարկվում է DLL sideloading մեխանիզմով՝ գործարկելու SHELBYC2 (AEROSTAT) հետին դուռը։ SHELBYC2-ը օգտագործում է GitHub-ը հրամանների և վերահսկման, տվյալների արտահոսքի և հեռակառավարման համար; Elastic-ը կլաստերը հետևում է որպես REF8685։ Palo Alto Networks-ը նկարագրել է Blinder Tunnel արշավը, որում CL-STA-1178 գործողը ներկայացել է որպես Դուբայի օդանավակայանի IT բաժին՝ կարևոր թիրախներին վնասակար ծրագրերով ծրագրավորման մարտահրավերներ բաշխելու համար։ Կեղծ հավաքագրման սխեման առաջին անգամ հայտնաբերվել է 2026 թ. մարտի վերջին, իսկ հարձակվողները ենթակառուցվածքը նախապատրաստել և փորձարկել են դեռևս 2025 թ. նոյեմբերից։

Սոցիալական ինժեներիայի արշավը կոնկրետ թիրախներին աշխատանքային առաջարկներ է արել և խաբել է նրանց՝ գործարկելու կարիերայի պորտալ նմանակող հավելված և լրացնելու հարցաթերթիկ։ Հարցաթերթիկը ծառայել է որպես անվնաս խայծ՝ վստահություն ձևավորելու համար, նախքան Microsoft Visual Studio նախագծի արխիվի տրամադրումը՝ որպես ծրագրավորման գնահատում։ Հարձակման շղթան օգտագործել է վնասակար C# .csproj ֆայլ՝ AppDomainManager injection ակտիվացնելու համար, ապա DLL sideloading՝ թարմացված ShelbyLoader V2 տարածելու և SHELBYC2 գործարկելու համար։ SHELBYC2-ը նաև տեղակայել է Blackwood թունելավորման օգտակար ծրագիրը։

Ֆիշինգային դոմեյններ և կեղծ ծրագրեր

Dream Research Labs հայտնել է, որ սպառնալիքի դերակատարը օգտագործել է կառավարության, վեբփոստի և ամպային ծառայությունների նմանակ դոմեյններ՝ հավատարմագրեր հավաքելու կամ հարձակվողի ֆայլեր ներբեռնելու համար։ Առանձնացված դոմեյնների թվում էին gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx և moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O։ Գործողը նաև ստեղծել է խայծ բրենդային դոմեյններ StarkMeet կեղծ տեսակոնֆերանսային հավելվածի համար՝ stark-meet[.]com, stark-meet[.]online և stark-meet[.]website։ Հավելվածի տեղադրումը և գործարկումը հանգեցնում է ShelbyLoader V2-ի և SHELBYC2-ի կատարմանը, ըստ հաշվետվության։

Գործառնական կապեր

Dream Research Labs նշել է, որ DarkBlinders խումբը պատկանում է նույն գործառնական կլաստերին, ինչ UNC5795-ը և Dust Specter-ը, մատնանշելով ենթակառուցվածքների և վնասակար ծրագրերի համընկնումները։ Dust Specter-ը, որը Zscaler փաստագրել է 2026 թ. մարտին, վերաբերում է Իրաքի կառավարության պաշտոնյաների դեմ ուղղված և Իրանի հետ կապված կասկածելի գործողությանը՝ երկրի Արտաքին գործերի նախարարությունը նմանակելու միջոցով։ Հաշվետվությունը միջին վստահությամբ գնահատել է, որ UNC5795-ը և UNC5187-ը կարող են լինել APT34 խմբի ավելի լայն շրջանակում կապված ենթակլաստերներ, իսկ իրաքյան կառավարական կառույցների նկատմամբ նրանց համընկնող ուշադրությունը ենթադրում է հետախուզական ընդհանուր հետաքրքրություն։

Աղբյուրներ՝ The Hacker News