DarkBlinders скомпрометувала ізраїльську ціль та хмарне середовище уряду Іракського Курдистану

Дослідники з кібербезпеки розкрили кампанію кібершпигунства іранського актора загроз, пов'язаного з державою, спрямовану проти Ізраїлю та регіону Курдистан в Іраку у серпні-жовтні 2026 року. За даними Dream Research Labs, діяльність скомпрометувала високопоставлену особу в Ізраїлі, а також вплинула на хмарне середовище уряду в регіоні Курдистан. Кампанію приписали DarkBlinders, угрупованню, яке оцінюють як активне щонайменше з вересня 2024 року.

Атрибуція та цілі

Dream Research Labs приписала кампанію DarkBlinders, іранському угрупованню, пов'язаному з атаками на авіаційну інфраструктуру та телекомунікації в Об'єднаних Арабських Еміратах і Іраку. У звіті йдеться, що угруповання не має технічних перетинів з іншими відомими хакерськими групами. Останні висновки свідчать, що DarkBlinders продовжує використовувати соціальну інженерію, поєднуючи фішинг облікових даних із доставленням шкідливого ПЗ.

Соціальна інженерія та доставлення шкідливого ПЗ

Раніше задокументовані ланцюги атак Elastic Security Labs і Group-IB призводили до SHELBYLOADER, також відомого як HOTAIR, який запускають через DLL sideloading для виконання бекдора під назвою SHELBYC2, також відомого як AEROSTAT. SHELBYC2 використовує GitHub для управління та контролю, виведення даних і віддаленого управління, а Elastic відстежує кластер як REF8685. Palo Alto Networks також описала кампанію під назвою Blinder Tunnel, у якій актор, якого вона називає CL-STA-1178, видавав себе за ІТ-відділ аеропортів Дубая, щоб розповсюджувати завдання з кодування зі шкідливим кодом серед цілей високої цінності. Фальшиву схему найму вперше виявили наприкінці березня 2026 року, тоді як свідчення вказують, що зловмисники готували та тестували інфраструктуру ще з листопада 2025 року.

Кампанія соціальної інженерії зверталася до конкретних цілей із пропозиціями роботи та переконувала їх запустити додаток, що імітував кар'єрний портал і просив заповнити анкету. Анкета слугувала безпечною приманкою для підвищення довіри перед доставленням архіву проєкту Microsoft Visual Studio, замаскованого під завдання з кодування. Ланцюг атаки використовував шкідливий файл C# .csproj для ініціювання ін'єкції AppDomainManager, після чого через DLL sideloading доставляв оновлений ShelbyLoader V2, який потім запускав SHELBYC2. SHELBYC2 також розгорнув тунелювальну утиліту під назвою Blackwood.

Фішингові домени та фальшиве програмне забезпечення

Dream повідомила, що актор загроз використовував домени-двійники урядових, вебпоштових і хмарних сервісів для збору облікових даних або надання контрольованих зловмисником завантажень файлів. Серед зазначених доменів були gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx і moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O. Актор також створив фальшиві брендові домени для фальшивого додатка для відеоконференцій під назвою StarkMeet за адресами stark-meet[.]com, stark-meet[.]online і stark-meet[.]website. Встановлення та запуск додатка призводять до виконання ShelbyLoader V2 і SHELBYC2, за даними звіту.

Операційні зв'язки

Dream заявила, що DarkBlinders належить до того самого операційного кластера, що й UNC5795 та Dust Specter, посилаючись на перетини інфраструктури та шкідливого ПЗ. Dust Specter, задокументований Zscaler у березні 2026 року, стосується підозрюваної операції, пов'язаної з Іраном, спрямованої проти урядових посадовців в Іраку шляхом видачі себе за Міністерство закордонних справ країни. Звіт оцінив із середнім рівнем впевненості, що UNC5795 і UNC5187 можуть бути пов'язаними підкластерами в межах ширшої групи APT34, додавши, що їхній перетин інтересів до іракських урядових структур свідчить про спільний інтерес до збору розвідувальної інформації.

Джерела: The Hacker News