I ricercatori di cybersicurezza hanno divulgato una campagna di cyber-spionaggio attribuita a DarkBlinders, un attore delle minacce legato all’Iran attivo almeno da settembre 2024. Secondo un rapporto di Dream Research Labs, l’operazione ha preso di mira Israele e la regione del Kurdistan iracheno tra agosto e ottobre 2026.

La campagna ha portato alla compromissione di un individuo israeliano di alto profilo, oltre ad altre compromissioni che hanno coinvolto un ambiente cloud governativo nella regione del Kurdistan. In precedenza DarkBlinders era stato associato ad attacchi contro infrastrutture dell’aviazione e telecomunicazioni negli Emirati Arabi Uniti e in Iraq, sebbene i ricercatori non abbiano riscontrato sovrapposizioni tecniche con altri gruppi di hacker noti.

Il gruppo utilizza tipicamente lo spear-phishing per persuadere le vittime ad aprire utilità trojanizzate o a visitare siti web controllati dagli attaccanti che offrono strumenti simili da scaricare. Le campagne precedenti documentate da Elastic Security Labs e Group-IB coinvolgevano SHELBYLOADER, noto anche come HOTAIR, distribuito tramite DLL sideloading e utilizzato per avviare la backdoor SHELBYC2, chiamata anche AEROSTAT. Il malware si affida a GitHub per il comando e controllo, l’esfiltrazione dei dati e il controllo remoto. Elastic monitora il cluster come REF8685.

Gli ultimi risultati di Dream indicano che DarkBlinders continua a combinare ingegneria sociale, furto di credenziali e distribuzione di malware. L’operazione ha utilizzato domini somiglianti a quelli di enti governativi, servizi di webmail e servizi cloud per raccogliere credenziali o distribuire file controllati dagli attaccanti. I ricercatori hanno inoltre identificato domini associati a StarkMeet, una falsa applicazione per videoconferenze. L’installazione e l’avvio dell’applicazione attivavano SHELBYLOADER V2 e SHELBYC2.

L’attività segue una campagna descritta da Palo Alto Networks come Blinder Tunnel. In quell’operazione, l’attore delle minacce, monitorato dall’azienda come CL-STA-1178, si spacciava per il reparto IT di Dubai Airports e inviava a obiettivi di alto valore sfide di programmazione contenenti malware.

L’operazione di falsa selezione del personale utilizzava offerte di lavoro allettanti per persuadere vittime selezionate a eseguire un’applicazione simile a un portale professionale e a completare un questionario. Il questionario fungeva da esca, senza esfiltrazione immediata di dati né risposta esterna. La fase successiva era nascosta in un archivio di progetto Microsoft Visual Studio presentato come una prova di programmazione.

La catena d’attacco utilizzava un file di progetto C# dannoso per attivare l’iniezione di AppDomainManager, seguita dal DLL sideloading per distribuire SHELBYLOADER V2 e avviare SHELBYC2. La backdoor poteva inoltre distribuire Blackwood, uno strumento di tunneling. Unit 42 ha affermato che la campagna utilizzava ingegneria sociale mirata e abusava degli strumenti per sviluppatori, mentre il dirottamento di AppDomainManager veniva utilizzato per eludere meccanismi di monitoraggio della sicurezza come Event Tracing for Windows.

Dream ha valutato che l’attività di DarkBlinders appartiene allo stesso cluster operativo di UNC5795 e Dust Specter, sulla base delle sovrapposizioni tra infrastrutture e malware. Dust Specter è stato documentato da Zscaler nel marzo 2026 in relazione a un’operazione che prendeva di mira funzionari del governo iracheno attraverso l’impersonificazione del Ministero degli Affari Esteri dell’Iraq.

I ricercatori hanno affermato che le impronte storiche dei server, la sovrapposizione dei profili delle vittime e altri elementi di attribuzione sostengono, con media fiducia, la possibilità che UNC5795 e UNC5187 siano sottocluster correlati all’interno del più ampio gruppo APT34. Il loro interesse comune per gli enti governativi iracheni è stato citato come prova di un potenziale interesse condiviso nella raccolta di informazioni.

Fonti: The Hacker News.