Исследователи в области кибербезопасности раскрыли подробности кампании кибершпионажа, нацеленной на Израиль и Курдистанский регион Ирака, проводимой связанной с Ираном группировкой в период с августа по октябрь 2026 года. Согласно отчету Dream Research Labs, кампания привела к компрометации высокопоставленного лица в Израиле, а также к дополнительным компрометациям, затронувшим государственную облачную среду в Курдистанском регионе. Активность приписана угрозе, известной как DarkBlinders, группе иранского происхождения, действующей как минимум с сентября 2024 года и связанной с атаками на авиационную инфраструктуру и телекоммуникации в ОАЭ и Ираке. Технических совпадений с другими известными хакерскими группами не обнаружено. Известно, что атаки группы используют фишинг как начальный вектор доступа, заманивая получателей открывать троянизированные утилиты или переходить по ссылкам на контролируемые злоумышленниками веб-сайты, предлагающие аналогичные инструменты для прямой загрузки. Предыдущие цепочки атак, задокументированные Elastic Security Labs и Group-IB, привели к развертыванию SHELBYLOADER (также известного как HOTAIR), который запускается через DLL sideloading для выполнения бэкдора SHELBYC2 (также известного как AEROSTAT), использующего GitHub для управления и контроля (C2), эксфильтрации данных и удаленного управления. Elastic отслеживает этот кластер угроз под кодовым названием REF8685. В начале прошлого месяца Palo Alto Networks пролила свет на кампанию под названием Blinder Tunnel, в ходе которой злоумышленник, названный CL-STA-1178, выдавал себя за IT-отдел аэропортов Дубая для распространения вредоносных программ через задачи по программированию среди высокопоставленных целей. Эта схема фальшивого найма была впервые обнаружена в конце марта 2026 года, хотя имеются свидетельства того, что злоумышленники готовили и тестировали инфраструктуру атак еще с ноября 2025 года. Оценивается, что кампания социальной инженерии обращалась к конкретным целям с выгодными предложениями о работе, чтобы обманом заставить их выполнить автономное приложение, имитирующее карьерный портал, и пройти опрос. Отправка опросника не приводит к эксфильтрации данных и не инициирует ответ от внешнего домена. Вместо этого он служит безвредным прикрытием и призван завоевать доверие перед доставкой следующего этапа — вредоносного ПО в виде архива проекта Microsoft Visual Studio, замаскированного под задание по программированию. Цепочка атак использует три метода для установления постоянного доступа: вредоносный файл проекта C# “.csproj” используется для запуска внедрения AppDomainManager, за которым следует DLL sideloading для доставки обновленной версии SHELBYLOADER (также известного как ShelbyLoader V2), которая затем запускает SHELBYC2. Через SHELBYC2 также развертывается утилита туннелирования под названием Blackwood. «Злоумышленники, стоящие за этой активностью, использовали индивидуальные методы социальной инженерии, выдавая себя за рекрутеров Dubai Airports и используя троянизированное задание по программированию Visual Studio для нацеливания на высокопоставленного соискателя работы из Ирака», — заявили в Unit 42. «Кампания характеризуется злоупотреблением встроенными инструментами разработчика и DLL sideloading. Злоумышленники также использовали перехват AppDomainManager для обхода средств мониторинга безопасности, таких как ETW [Event Tracing for Windows].» Последние данные Dream показывают, что злоумышленник продолжает полагаться на социальную инженерию, сочетая фишинг учетных данных и доставку вредоносного ПО. Это включает использование доменов, имитирующих государственные, веб-почтовые и облачные сервисы, для сбора учетных данных или предоставления загрузок файлов, контролируемых злоумышленником. Среди выделенных доменов — [redacted]. Злоумышленник также был замечен в создании поддельных доменов для фальшивого приложения для видеоконференций StarkMeet (stark-meet[.]com, stark-meet[.]online и stark-meet[.]website). Установка и запуск приложения приводят к выполнению ShelbyLoader V2 и SHELBYC2. Это развитие событий также свидетельствует о том, что злоумышленник пробует различные методы доставки вредоносного ПО, от заданий по программированию до поддельного программного обеспечения. Dream утверждает, что активность DarkBlinders принадлежит к тому же операционному кластеру, что и UNC5795 и Dust Specter, ссылаясь на совпадения в инфраструктуре и вредоносном ПО. Dust Specter, задокументированный Zscaler в марте 2026 года, относится к предполагаемой операции иранского происхождения, нацеленной на правительственных чиновников в Ираке путем выдачи себя за Министерство иностранных дел страны. «Исторические отпечатки серверов, совпадения в выборе жертв и вспомогательные исследования атрибуции позволяют нам с средней уверенностью оценить, что UNC5795 и UNC5187 могут представлять собой связанные подкластеры в рамках более широкой группы APT34», — добавили они. «Их совпадающая направленность на иракские государственные структуры добавляет контекст к этой технической связи и предполагает общий интерес к сбору разведывательной информации. В сочетании с их соответствующими связями с APT34 эти выводы подтверждают оценку средней уверенности в том, что два кластера оперативно связаны и могут принадлежать к одной и той же более широкой группе». Это сообщение появилось на фоне того, что Prince of Persia (также известный как Infy), менее известная группа угроз, спонсируемая иранским правительством, была замечена в использовании одного из своих C2-серверов (“68.65.122[.]203”) из США в этом году. Сервер, вероятно, был создан в июле 2026 года. Инфраструктура представляет собой C2-сервер второго этапа, связанный с Tornado, вариантом Tonnerre, который доставляется через уязвимости нулевого дня и использует как HTTPS, так и Telegram API для C2. Появление новых C2-серверов в конце мая 2026 года последовало за трехмесячным периодом бездействия, который был описан как «самый длительный простой за почти два десятилетия активности этой угрозы». «Мы отслеживаем деятельность Prince of Persia по эксфильтрации данных в течение последних шести месяцев», — сказал Томер Бар, вице-президент по исследованиям безопасности в Semperis. «Количество жертв остается низким, что может указывать либо на целенаправленные атаки, либо на трудности с заражением новых жертв». «Иранский злоумышленник решил разместить свой новый C2-сервер на территории США — одновременно с началом недавних боевых действий между Ираном и Соединенными Штатами. Это последнее место, где мы ожидали найти скрывающегося злоумышленника».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
