Cybersicherheitsforscher haben eine Cyber-Spionagekampagne offengelegt, die DarkBlinders zugeschrieben wird, einem dem Iran nahestehenden Bedrohungsakteur, der mindestens seit September 2024 aktiv ist. Die Operation richtete sich zwischen August und Oktober 2026 gegen Israel und die Region Kurdistan im Irak, wie aus einem Bericht von Dream Research Labs hervorgeht.
Die Kampagne führte zur Kompromittierung einer hochrangigen Einzelperson in Israel sowie zu weiteren Kompromittierungen einer staatlichen Cloud-Umgebung in der Region Kurdistan. DarkBlinders wurde bereits mit Angriffen auf Luftfahrtinfrastruktur und Telekommunikationsunternehmen in den Vereinigten Arabischen Emiraten und im Irak in Verbindung gebracht, doch die Forscher fanden keine technischen Überschneidungen mit anderen bekannten Hackergruppen.
Die Gruppe verwendet typischerweise Spear-Phishing, um Opfer dazu zu bewegen, manipulierte Dienstprogramme zu öffnen oder von Angreifern kontrollierte Websites zu besuchen, die ähnliche Tools zum Download anbieten. Frühere von Elastic Security Labs und Group-IB dokumentierte Kampagnen umfassten SHELBYLOADER, auch als HOTAIR bekannt. Die Schadsoftware wurde durch DLL-Sideloading zugestellt und zum Starten der SHELBYC2-Backdoor verwendet, die auch AEROSTAT genannt wird. Die Malware nutzt GitHub für Command-and-Control, Datenexfiltration und Fernsteuerung. Elastic verfolgt das Cluster unter der Bezeichnung REF8685.
Die neuesten Erkenntnisse von Dream zeigen, dass DarkBlinders weiterhin Social Engineering mit dem Diebstahl von Zugangsdaten und der Verbreitung von Schadsoftware kombiniert. Bei der Operation wurden ähnlich aussehende Domains von Regierungsstellen, Webmail- und Cloud-Diensten verwendet, um Zugangsdaten zu sammeln oder von Angreifern kontrollierte Dateien zu verbreiten. Die Forscher identifizierten außerdem Domains, die mit StarkMeet, einer gefälschten Videokonferenzanwendung, verbunden waren. Die Installation und der Start der Anwendung lösten SHELBYLOADER V2 und SHELBYC2 aus.
Die Aktivitäten folgen auf eine von Palo Alto Networks als Blinder Tunnel beschriebene Kampagne. Bei dieser Operation gab sich der von dem Unternehmen als CL-STA-1178 verfolgte Bedrohungsakteur als IT-Abteilung des Flughafens Dubai aus und schickte hochwertigen Zielen mit Schadsoftware versehene Programmieraufgaben.
Die gefälschte Rekrutierungsoperation nutzte attraktive Jobangebote, um ausgewählte Opfer dazu zu bewegen, eine einem Karriereportal ähnelnde Anwendung auszuführen und einen Fragebogen auszufüllen. Der Fragebogen diente als Täuschung und führte zunächst weder zu einer Datenexfiltration noch zu einer externen Antwort. Die nächste Phase war in einem Microsoft-Visual-Studio-Projektarchiv verborgen, das als Programmierprüfung präsentiert wurde.
Die Angriffskette verwendete eine bösartige C#-Projektdatei, um eine AppDomainManager-Injektion auszulösen. Anschließend wurde DLL-Sideloading eingesetzt, um SHELBYLOADER V2 bereitzustellen und SHELBYC2 zu starten. Die Backdoor konnte außerdem Blackwood, ein Tunneling-Tool, einsetzen. Unit 42 erklärte, dass die Kampagne maßgeschneidertes Social Engineering nutzte und Entwicklertools missbrauchte, während das Hijacking von AppDomainManager eingesetzt wurde, um Sicherheitsüberwachungsmechanismen wie Event Tracing for Windows zu umgehen.
Dream bewertete die Aktivitäten von DarkBlinders aufgrund von Überschneidungen bei Infrastruktur und Malware als Teil desselben operativen Clusters wie UNC5795 und Dust Specter. Dust Specter wurde im März 2026 von Zscaler im Zusammenhang mit einer Operation dokumentiert, die sich durch die Nachahmung des irakischen Außenministeriums gegen irakische Regierungsbeamte richtete.
Die Forscher erklärten, dass historische Server-Fingerabdrücke, Überschneidungen bei den betroffenen Opfern und weitere Erkenntnisse zur Zuordnung mit mittlerer Zuversicht die Möglichkeit stützen, dass UNC5795 und UNC5187 verwandte Sub-Cluster innerhalb der umfassenderen APT34-Gruppe sind. Als Beleg für ein möglicherweise gemeinsames Interesse an der Informationsbeschaffung nannten sie den gemeinsamen Fokus auf irakische Regierungsstellen.
Quellen: The Hacker News.