Investigadores de ciberseguridad han revelado una campaña de ciberespionaje atribuida a DarkBlinders, un actor de amenazas vinculado a Irán activo desde al menos septiembre de 2024. La operación tuvo como objetivo Israel y la Región del Kurdistán de Irak entre agosto y octubre de 2026, según un informe de Dream Research Labs.

La campaña provocó el compromiso de un individuo israelí de alto perfil, así como otros compromisos relacionados con un entorno de nube gubernamental en la Región del Kurdistán. DarkBlinders había sido asociado anteriormente con ataques contra infraestructuras de aviación y telecomunicaciones en los Emiratos Árabes Unidos e Irak, aunque los investigadores no encontraron coincidencias técnicas con otros grupos de hackers conocidos.

El grupo suele utilizar spear-phishing para persuadir a las víctimas de abrir utilidades troyanizadas o visitar sitios web controlados por los atacantes que ofrecen herramientas similares para su descarga. Las campañas anteriores documentadas por Elastic Security Labs y Group-IB involucraron a SHELBYLOADER, también conocido como HOTAIR, que se distribuía mediante el secuestro de DLL y se utilizaba para iniciar la puerta trasera SHELBYC2, también denominada AEROSTAT. El malware depende de GitHub para el mando y control, la exfiltración de datos y el control remoto. Elastic rastrea el clúster como REF8685.

Los últimos hallazgos de Dream indican que DarkBlinders continúa combinando ingeniería social con robo de credenciales y distribución de malware. La operación utilizó dominios similares a los de organismos gubernamentales, servicios de correo web y servicios en la nube para recopilar credenciales o distribuir archivos controlados por los atacantes. Los investigadores también identificaron dominios asociados con StarkMeet, una aplicación falsa de videoconferencia. La instalación y ejecución de la aplicación activaba SHELBYLOADER V2 y SHELBYC2.

La actividad sigue a una campaña descrita por Palo Alto Networks como Blinder Tunnel. En esa operación, el actor de amenazas, rastreado por la empresa como CL-STA-1178, se hizo pasar por el departamento de TI de Dubai Airports y envió desafíos de programación con malware a objetivos de alto valor.

La operación de falsa contratación utilizó atractivas ofertas de empleo para persuadir a víctimas seleccionadas de ejecutar una aplicación similar a un portal profesional y completar un cuestionario. El cuestionario actuaba como señuelo, sin exfiltración inmediata de datos ni respuesta externa. La siguiente etapa estaba oculta en un archivo de proyecto de Microsoft Visual Studio presentado como una evaluación de programación.

La cadena de ataque utilizó un archivo de proyecto C# malicioso para activar la inyección de AppDomainManager, seguida del secuestro de DLL para distribuir SHELBYLOADER V2 e iniciar SHELBYC2. La puerta trasera también podía desplegar Blackwood, una herramienta de túnel. Unit 42 afirmó que la campaña utilizó ingeniería social adaptada y abusó de herramientas de desarrollo, mientras que el secuestro de AppDomainManager se empleó para eludir mecanismos de supervisión de seguridad como Event Tracing for Windows.

Dream evaluó que la actividad de DarkBlinders pertenece al mismo clúster operativo que UNC5795 y Dust Specter, basándose en coincidencias de infraestructura y malware. Zscaler documentó Dust Specter en marzo de 2026 en relación con una operación dirigida contra funcionarios del Gobierno iraquí mediante la suplantación del Ministerio de Asuntos Exteriores de Irak.

Los investigadores afirmaron que las huellas históricas de los servidores, la victimología coincidente y otros hallazgos de atribución respaldan, con confianza media, la posibilidad de que UNC5795 y UNC5187 sean subclústeres relacionados dentro del grupo APT34 más amplio. Su enfoque compartido en entidades del Gobierno iraquí fue citado como evidencia de un posible interés común de recopilación de inteligencia.

Fuentes: The Hacker News.