DarkBlinders-მა ისრაელის სამიზნე და ერაყის ქურთული მთავრობის ღრუბლოვანი გარემო გატეხა

კიბერუსაფრთხოების მკვლევარებმა გაასაჯაროეს კიბერჯაშუშური კამპანია, რომელიც ირანის სახელმწიფოსთან დაკავშირებულმა საფრთხის აქტორმა 2026 წლის აგვისტოდან ოქტომბრამდე ისრაელისა და ერაყის ქურთისტანის რეგიონის წინააღმდეგ განახორციელა. Dream Research Labs-ის მიხედვით, ისრაელში ცნობილი პიროვნება გატეხეს და დაზარალდა ქურთისტანის რეგიონის მთავრობის ღრუბლოვანი გარემოც. კამპანია DarkBlinders-ს მიაკუთვნეს, ჯგუფს, რომელიც, შეფასებით, 2024 წლის სექტემბრიდან მაინც აქტიურობს.

ვინაობის დადგენა და სამიზნეები

Dream-მა კამპანია DarkBlinders-ს მიაკუთვნა, ირანთან დაკავშირებულ ჯგუფს, რომელსაც აკავშირებენ არაბეთის გაერთიანებულ საამიროებსა და ერაყში ავიაციასა და ტელეკომუნიკაციებზე თავდასხმებთან. ანგარიშის თანახმად, ჯგუფს ტექნიკური გადაფარვა არ აქვს სხვა ცნობილ ჰაკერულ ჯგუფებთან. უახლესი აღმოჩენები აჩვენებს, რომ DarkBlinders კვლავ სოციალურ ინჟინერიას ეყრდნობა და ავტორიზაციის მონაცემების ფიშინგს მავნე პროგრამის მიწოდებასთან აკავშირებს.

სოციალური ინჟინერია და მავნე პროგრამის მიწოდება

Elastic Security Labs-ისა და Group-IB-ის მიერ დოკუმენტირებული ადრინდელი თავდასხმის ჯაჭვები იწვევდა SHELBYLOADER-ს (HOTAIR); ის DLL sideloading-ით ირთვება, რათა შეასრულოს backdoor SHELBYC2 (AEROSTAT). SHELBYC2 GitHub-ს იყენებს C2-ისთვის, მონაცემების გატანისა და დისტანციური მართვისთვის, ხოლო Elastic ამ კლასტერს REF8685-ად თვლის. Palo Alto Networks-მა ასევე აღწერა კამპანია Blinder Tunnel, სადაც CL-STA-1178 თავს Dubai Airports-ის IT დეპარტამენტად ასაღებდა და მაღალი ღირებულების სამიზნეებზე მავნე პროგრამით ინფიცირებულ პროგრამირების ტესტებს უგზავნიდა. ყალბი დასაქმების სქემა პირველად 2026 წლის მარტის ბოლოს გამოვლინდა, თუმცა მტკიცებულებები 2025 წლის ნოემბრიდან ინფრასტრუქტურის მომზადებასა და ტესტირებაზე მიუთითებს.

კამპანიისას თავდამსხმელები სამიზნეებს სამუშაო შეთავაზებებით დაუკავშირდნენ და მოატყუეს, რათა გაეშვათ კარიერული პორტალის მსგავსი აპლიკაცია და შეევსოთ კითხვარი. კითხვარი უწყინარი სატყუარა იყო ნდობის მოსაპოვებლად, რის შემდეგაც მათ Microsoft Visual Studio-ის პროექტის არქივი პროგრამირების ტესტის სახით მიაწოდეს. თავდასხმის ჯაჭვმა გამოიყენა მავნე C# .csproj ფაილი AppDomainManager-ის ინექციისთვის, შემდეგ DLL sideloading განახლებული ShelbyLoader V2-ის მისაწოდებლად, რომელმაც SHELBYC2 გაუშვა. SHELBYC2-მა ასევე განათავსა გვირაბის პროგრამა Blackwood.

ფიშინგის დომენები და ყალბი პროგრამები

Dream-ის ცნობით, საფრთხის აქტორი მთავრობის, ვებფოსტისა და ღრუბლოვანი სერვისების მსგავს დომენებს იყენებდა მონაცემების მოსაპოვებლად ან თავდამსხმელის ფაილების ჩამოსატვირთად. გამოკვეთილ დომენებს შორის იყო gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx და moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O. აქტორმა ასევე შექმნა ყალბი ბრენდის დომენები ყალბი ვიდეოკონფერენციის აპლიკაციისთვის StarkMeet: stark-meet[.]com, stark-meet[.]online და stark-meet[.]website. ანგარიშის მიხედვით, აპლიკაციის დაყენება და გაშვება იწვევს ShelbyLoader V2-ისა და SHELBYC2-ის შესრულებას.

ოპერაციული კავშირები

Dream-ის თქმით, DarkBlinders იმავე ოპერაციულ კლასტერს ეკუთვნის, როგორც UNC5795 და Dust Specter, ინფრასტრუქტურისა და მავნე პროგრამების გადაფარვის საფუძველზე. Dust Specter, რომელიც Zscaler-მა 2026 წლის მარტში აღწერა, ირანთან დაკავშირებული სავარაუდო ოპერაციაა, რომელიც ერაყის მთავრობის ოფიციალურ პირებს ქვეყნის საგარეო საქმეთა სამინისტროს სახელით სამიზნედ ისახავდა. ანგარიშმა საშუალო სანდოობით შეაფასა, რომ UNC5795 და UNC5187 შეიძლება იყვნენ დაკავშირებული ქვეკლასტერები უფრო ფართო APT34 ჯგუფში, და დასძინა, რომ ორივეს ერაყის მთავრობის ორგანოებზე ფოკუსირება საერთო სადაზვერვო ინტერესზე მიუთითებს.

წყაროები: The Hacker News