DarkBlinders скомпрометировала облако властей Иракского Курдистана
Связанная с Ираном группа DarkBlinders с августа по октябрь 2026 года скомпрометировала высокопоставленную цель в Израиле и облачную среду правительства Иракского Курдистана. Об этом сообщила Dream Research Labs. Исследователи также отметили, что операторы совмещают фишинг учётных данных с доставкой вредоносных программ.
DarkBlinders активна как минимум с сентября 2024 года. Группу связывали с атаками на авиационную инфраструктуру и телекоммуникационный сектор в ОАЭ и Ираке. При этом специалисты не обнаружили технических пересечений с другими известными хакерскими группами.
Поддельные сервисы и приложения
В новой активности злоумышленники использовали домены, имитирующие государственные службы, веб-почту и облачные сервисы. Такие страницы предназначены либо для сбора учётных данных, либо для выдачи файлов, подготовленных атакующими.
Отдельно Dream Research Labs выделила ложное приложение для видеоконференций StarkMeet. Для него были зарегистрированы несколько брендовых доменов. Запуск установленной программы приводит к выполнению ShelbyLoader V2, после чего разворачивается бэкдор SHELBYC2.
Исследователи считают, что DarkBlinders тестирует разные способы доставки вредоносного кода: от поддельного программного обеспечения до заданий для разработчиков. Dream связывает эту активность с кластерами UNC5795 и Dust Specter на основании пересечений инфраструктуры и вредоносных программ.
Цепочка заражения через тестовое задание
Ранее Palo Alto Networks Unit 42 описывала кампанию Blinder Tunnel, которую отслеживает как CL-STA-1178. Атакующие выдавали себя за рекрутеров IT-подразделения Dubai Airports и отправляли ценным целям предложения о работе с вредоносным заданием по программированию.
Первый этап выглядел как самостоятельное приложение с карьерным порталом и анкетой. Отправка анкеты не передавала данные и не обращалась к внешнему домену: она служила приманкой, повышающей доверие к следующему шагу. Затем жертве предлагали архив проекта Microsoft Visual Studio, замаскированный под техническое испытание.
В цепочке применялся вредоносный файл проекта C# с расширением .csproj для внедрения AppDomainManager. Далее использовалась подмена загрузки DLL, доставлявшая ShelbyLoader V2 и запускавшая SHELBYC2. Через этот бэкдор также устанавливалась туннельная утилита Blackwood. Unit 42 указывала, что захват AppDomainManager применялся для обхода средств мониторинга, включая ETW.
Что проверить организациям
Для компаний риск создают не только письма с вложениями, но и правдоподобные сценарии найма, тестовые проекты и приложения от якобы знакомых брендов. Командам безопасности стоит проверять домены, похожие на корпоративные и государственные, а также контролировать запуск полученных извне проектов и утилит.
Практический вывод для бизнеса: процессы проверки рекрутинговых сообщений и внешних файлов должны охватывать сотрудников с привилегированным доступом, разработчиков и руководителей. Особого внимания требуют архивы Visual Studio, неожиданные приложения для конференций и запросы на ввод учётных данных на похожих доменах.