DarkBlinders, İsrailli bir hedefi ve Irak Kürdistan Bölgesi hükümet bulut ortamını ele geçirdi

Siber güvenlik araştırmacıları, Ağustos ve Ekim 2026 arasında İsrail'i ve Irak'ın Kürdistan Bölgesi'ni hedef alan İran devletiyle bağlantılı bir tehdit aktörünün siber casusluk kampanyasını açıkladı. Dream Research Labs'a göre bu etkinlik İsrail'de yüksek profilli bir kişiyi ele geçirdi ve Kürdistan Bölgesi'nde bir hükümet bulut ortamını da etkiledi. Kampanya, en az Eylül 2024'ten bu yana etkin olduğu değerlendirilen DarkBlinders grubuna atfedildi.

Atıf ve hedefleme

Dream Research Labs, kampanyayı Birleşik Arap Emirlikleri ve Irak'ta havacılık altyapısına ve telekomünikasyona yönelik saldırılarla bağlantılı İran bağlantılı bir grup olan DarkBlinders'a atfetti. Rapor, grubun diğer bilinen hacker gruplarıyla teknik bir örtüşme göstermediğini söyledi. En son bulgular, DarkBlinders'ın kimlik bilgisi oltalama ile kötü amaçlı yazılım dağıtımını birleştirirken sosyal mühendisliği kullanmaya devam ettiğini gösteriyor.

Sosyal mühendislik ve kötü amaçlı yazılım dağıtım

Elastic Security Labs ve Group-IB tarafından belgelenen önceki saldırı zincirleri, DLL sideloading yoluyla başlatılarak SHELBYC2 adlı bir arka kapı çalıştıran SHELBYLOADER'a yol açtı. SHELBYLOADER HOTAIR olarak da bilinir ve SHELBYC2 AEROSTAT olarak da bilinir. SHELBYC2, komuta ve kontrol, veri sızdırma ve uzaktan kontrol için GitHub kullanır ve Elastic bu kümeyi REF8685 olarak izler. Palo Alto Networks ayrıca CL-STA-1178 adını verdiği aktörün Dubai Havalimanları BT departmanı kılığına girerek yüksek değerli hedeflere kötü amaçlı yazılım içeren kodlama görevleri dağıttığı Blinder Tunnel adlı bir kampanyayı da anlattı. Sahte işe alım düzeni ilk kez Mart 2026'nın sonunda tespit edildi; kanıtlar saldırganların Kasım 2025'ten itibaren altyapıyı hazırladığını ve test ettiğini gösteriyor.

Sosyal mühendislik kampanyası, belirli hedeflere iş teklifleriyle yaklaştı ve onları kariyer portalını taklit eden ve anket doldurmalarını isteyen bir uygulamayı çalıştırmaya kandırdı. Anket, kodlama değerlendirmesi kılığına sokulmuş bir Microsoft Visual Studio proje arşivi teslim edilmeden önce güvenilirlik oluşturmak için zararsız bir yem olarak hizmet etti. Saldırı zinciri, AppDomainManager injection tetiklemek için kötü amaçlı bir C# .csproj dosyası kullandı; ardından güncellenmiş ShelbyLoader V2'yi teslim etmek için DLL sideloading uyguladı ve bu da SHELBYC2'yi başlattı. SHELBYC2 ayrıca Blackwood adlı bir tünelleme aracı da dağıttı.

Oltalama alan adları ve sahte yazılım

Dream, tehdit aktörünün kimlik bilgilerini toplamak veya saldırgan denetimli dosya indirmeleri sunmak için hükümet, webmail ve bulut hizmeti görünümüne benzer alan adları kullandığını bildirdi. Öne çıkan alan adları arasında gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx ve moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O yer aldı. Aktör ayrıca stark-meet[.]com, stark-meet[.]online ve stark-meet[.]website adreslerinde StarkMeet adlı sahte bir video konferans uygulaması için yem marka alan adları da kurdu. Rapora göre uygulamanın kurulması ve başlatılması ShelbyLoader V2 ve SHELBYC2'nin çalıştırılmasına yol açıyor.

Operasyonel bağlantılar

Dream, altyapı ve kötü amaçlı yazılım örtüşmelerini gerekçe göstererek DarkBlinders'ın UNC5795 ve Dust Specter ile aynı operasyonel kümeye ait olduğunu söyledi. Zscaler tarafından Mart 2026'da belgelenen Dust Specter, ülkenin Dışişleri Bakanlığı kılığına girerek Irak'taki hükümet yetkililerini hedef alan şüpheli bir İran bağlantılı operasyonu ifade eder. Rapor, orta güvenle UNC5795 ve UNC5187'nin daha geniş APT34 grubu içinde ilgili alt kümeleri temsil edebileceğini değerlendirdi ve Irak hükümet kurumlarına yönelik örtüşen odaklarının ortak bir istihbarat toplama ilgisine işaret ettiğini ekledi.

Kaynaklar: The Hacker News