Des chercheurs en cybersécurité ont révélé une campagne de cyberespionnage attribuée à DarkBlinders, un acteur de la menace lié à l’Iran et actif depuis au moins septembre 2024. L’opération a ciblé Israël et la région du Kurdistan irakien entre août et octobre 2026, selon un rapport de Dream Research Labs.
La campagne a entraîné la compromission d’un individu israélien de premier plan, ainsi que d’autres compromissions impliquant un environnement cloud gouvernemental dans la région du Kurdistan. DarkBlinders a déjà été associé à des attaques contre des infrastructures aéronautiques et des télécommunications aux Émirats arabes unis et en Irak, bien que les chercheurs n’aient trouvé aucun chevauchement technique avec d’autres groupes de piratage connus.
Le groupe utilise généralement l’hameçonnage ciblé pour convaincre les victimes d’ouvrir des utilitaires infectés par un cheval de Troie ou de visiter des sites web contrôlés par les attaquants proposant des outils similaires au téléchargement. Des campagnes précédemment documentées par Elastic Security Labs et Group-IB impliquaient SHELBYLOADER, également connu sous le nom de HOTAIR, qui était diffusé par chargement latéral de DLL et utilisé pour lancer la porte dérobée SHELBYC2, également appelée AEROSTAT. Le logiciel malveillant s’appuie sur GitHub pour le contrôle-commande, l’exfiltration de données et le contrôle à distance. Elastic suit ce groupe sous le nom de REF8685.
Les dernières conclusions de Dream indiquent que DarkBlinders continue de combiner l’ingénierie sociale avec le vol d’identifiants et la diffusion de logiciels malveillants. L’opération a utilisé des domaines similaires à ceux de services gouvernementaux, de messagerie web et de services cloud afin de recueillir des identifiants ou de distribuer des fichiers contrôlés par les attaquants. Les chercheurs ont également identifié des domaines associés à StarkMeet, une fausse application de visioconférence. L’installation et le lancement de l’application déclenchaient SHELBYLOADER V2 et SHELBYC2.
Cette activité fait suite à une campagne décrite par Palo Alto Networks sous le nom de Blinder Tunnel. Dans cette opération, l’acteur de la menace, suivi par l’entreprise sous le nom de CL-STA-1178, s’est fait passer pour le service informatique de Dubai Airports et a envoyé à des cibles de grande valeur des défis de programmation contenant des logiciels malveillants.
La fausse opération de recrutement utilisait des offres d’emploi attrayantes pour convaincre certaines victimes d’exécuter une application ressemblant à un portail de carrière et de remplir un questionnaire. Le questionnaire servait de leurre, sans exfiltration immédiate de données ni réponse externe. L’étape suivante était dissimulée dans une archive de projet Microsoft Visual Studio présentée comme une évaluation de programmation.
La chaîne d’attaque utilisait un fichier de projet C# malveillant pour déclencher une injection d’AppDomainManager, suivie d’un chargement latéral de DLL afin de diffuser SHELBYLOADER V2 et de lancer SHELBYC2. La porte dérobée pouvait également déployer Blackwood, un outil de tunnellisation. Unit 42 a déclaré que la campagne utilisait une ingénierie sociale adaptée et détournait des outils de développement, tandis que le détournement d’AppDomainManager servait à contourner des mécanismes de surveillance de la sécurité tels qu’Event Tracing for Windows.
Dream a estimé que l’activité de DarkBlinders appartenait au même groupe opérationnel qu’UNC5795 et Dust Specter, sur la base de chevauchements concernant l’infrastructure et les logiciels malveillants. Dust Specter a été documenté par Zscaler en mars 2026 dans le cadre d’une opération ciblant des responsables du gouvernement irakien par l’usurpation de l’identité du ministère irakien des Affaires étrangères.
Les chercheurs ont déclaré que les empreintes historiques des serveurs, le chevauchement des profils de victimes et d’autres éléments d’attribution étayaient, avec un niveau de confiance moyen, la possibilité qu’UNC5795 et UNC5187 soient des sous-groupes liés au sein du groupe APT34 plus vaste. Leur intérêt commun pour les entités gouvernementales irakiennes a été cité comme indice d’un intérêt potentiellement partagé en matière de collecte de renseignements.
Sources: The Hacker News.