DarkBlinders napao izraelsku metu i oblak vlasti Kurdistana
Grupa DarkBlinders, koju Dream Research Labs povezuje sa iranskim državnim interesima, između avgusta i oktobra 2026. kompromitovala je istaknutu osobu u Izraelu i dodatne ciljeve u okruženju državnog oblaka Kurdistanskog regiona Iraka. Istraživači navode kombinovanje krađe akreditiva i isporuke malvera, dok se u lancima napada pojavljuju ShelbyLoader V2 i pozadinski program SHELBYC2.
Phishing, lažni servisi i zaraženi alati
DarkBlinders je aktivan najmanje od septembra 2024. i ranije je povezivan s napadima na vazduhoplovnu infrastrukturu i telekomunikacije u Ujedinjenim Arapskim Emiratima i Iraku. Istraživači ne nalaze tehničko preklapanje sa drugim poznatim hakerskim grupama.
Početni pristup oslanja se na ciljani phishing. Primaoci se navode da otvore trojanizovane uslužne programe ili da kliknu na sajtove pod kontrolom napadača, sa kojih se nude slični alati za direktno preuzimanje. U novijoj aktivnosti korišćeni su domeni koji oponašaju državne službe, webmail i cloud servise, kako bi se prikupljale lozinke ili poslužile datoteke za preuzimanje.
Među mamcima je i lažna aplikacija za videokonferencije StarkMeet. Njeno instaliranje i pokretanje izvršava ShelbyLoader V2, koji potom pokreće SHELBYC2. Promena mamaca, od programerskih zadataka do krivotvorenog softvera, ukazuje na više načina isporuke istog malverskog lanca.
Tehnike za postojan pristup
Ranije dokumentovani napadi koristili su SHELBYLOADER, poznat i kao HOTAIR, pokrenut DLL sideloadingom. Njegova uloga bila je da izvrši SHELBYC2, odnosno AEROSTAT, pozadinski program koji je koristio GitHub za komandno-upravljačku komunikaciju, izdvajanje podataka i udaljenu kontrolu. Elastic Security Labs ovaj klaster prati kao REF8685.
Palo Alto Networks je u kampanji Blinder Tunnel zabeležio predstavljanje napadača kao IT odeljenja Dubai Airports. Visoko vredne mete dobijale su ponude za posao i aplikaciju nalik portalu za karijere sa upitnikom. Upitnik je služio kao bezopasan mamac, dok je naredna faza stizala kao arhiva Microsoft Visual Studio projekta predstavljena kao programski zadatak.
Lanac je obuhvatao zlonamernu datoteku .csproj za AppDomainManager injection, zatim DLL sideloading i ShelbyLoader V2. Unit 42 je naveo da je AppDomainManager hijacking korišćen za zaobilaženje nadzora kao što je ETW. Preko SHELBYC2 isporučivan je i tunelski alat Blackwood.
Poslovni zaključak
Dream Research Labs ovu aktivnost povezuje sa klasterima UNC5795 i Dust Specter na osnovu infrastrukture i preklapanja malvera. Za organizacije je praktično da provere prijave na servisima koji obrađuju identitete, ograniče preuzimanje i pokretanje neproverenih aplikacija i prate neuobičajeno ponašanje razvojnih alata. Obuka zaposlenih treba da obuhvati prepoznavanje lažnih ponuda za posao, domena koji oponašaju pouzdane servise i arhiva predstavljenih kao tehnički zadaci.