Pesquisadores de cibersegurança divulgaram uma campanha de ciberespionagem atribuída ao DarkBlinders, um agente de ameaça ligado ao Irã ativo desde pelo menos setembro de 2024. A operação teve como alvo Israel e a Região do Curdistão do Iraque entre agosto e outubro de 2026, segundo um relatório da Dream Research Labs.

A campanha resultou no comprometimento de um indivíduo israelense de alto perfil, além de outros comprometimentos envolvendo um ambiente de nuvem governamental na Região do Curdistão. O DarkBlinders já foi associado a ataques contra infraestruturas de aviação e telecomunicações nos Emirados Árabes Unidos e no Iraque, embora os pesquisadores não tenham encontrado sobreposição técnica com outros grupos de hackers conhecidos.

O grupo normalmente usa spear-phishing para persuadir as vítimas a abrir utilitários trojanizados ou visitar sites controlados pelos invasores que oferecem ferramentas semelhantes para download. Campanhas anteriores documentadas pela Elastic Security Labs e pelo Group-IB envolveram o SHELBYLOADER, também conhecido como HOTAIR, que era distribuído por meio de sideloading de DLL e usado para iniciar o backdoor SHELBYC2, também chamado de AEROSTAT. O malware depende do GitHub para comando e controle, exfiltração de dados e controle remoto. A Elastic rastreia o cluster como REF8685.

As descobertas mais recentes da Dream indicam que o DarkBlinders continua combinando engenharia social com roubo de credenciais e distribuição de malware. A operação usou domínios semelhantes aos de órgãos governamentais, serviços de webmail e serviços de nuvem para coletar credenciais ou distribuir arquivos controlados pelos invasores. Os pesquisadores também identificaram domínios associados ao StarkMeet, um aplicativo falso de videoconferência. A instalação e a execução do aplicativo acionavam o SHELBYLOADER V2 e o SHELBYC2.

A atividade segue uma campanha descrita pela Palo Alto Networks como Blinder Tunnel. Nessa operação, o agente de ameaça, rastreado pela empresa como CL-STA-1178, se passou pelo departamento de TI do Dubai Airports e enviou desafios de programação contendo malware a alvos de alto valor.

A operação falsa de recrutamento usou ofertas de emprego atraentes para persuadir vítimas selecionadas a executar um aplicativo semelhante a um portal de carreiras e preencher um questionário. O questionário funcionava como uma isca, sem exfiltração imediata de dados ou resposta externa. A etapa seguinte estava ocultada em um arquivo de projeto do Microsoft Visual Studio apresentado como uma avaliação de programação.

A cadeia de ataque usou um arquivo de projeto C# malicioso para acionar a injeção de AppDomainManager, seguida por sideloading de DLL para distribuir o SHELBYLOADER V2 e iniciar o SHELBYC2. O backdoor também podia implantar o Blackwood, uma ferramenta de tunelamento. A Unit 42 afirmou que a campanha usou engenharia social personalizada e abusou de ferramentas de desenvolvimento, enquanto o sequestro do AppDomainManager foi usado para contornar mecanismos de monitoramento de segurança, como o Event Tracing for Windows.

A Dream avaliou que a atividade do DarkBlinders pertence ao mesmo cluster operacional que UNC5795 e Dust Specter, com base em sobreposições de infraestrutura e malware. O Dust Specter foi documentado pela Zscaler em março de 2026 em conexão com uma operação que teve como alvo autoridades governamentais iraquianas por meio da personificação do Ministério das Relações Exteriores do Iraque.

Os pesquisadores disseram que impressões digitais históricas de servidores, sobreposição no perfil das vítimas e outras descobertas de atribuição sustentam, com confiança média, a possibilidade de que UNC5795 e UNC5187 sejam subclusters relacionados dentro do grupo APT34 mais amplo. O foco compartilhado em entidades governamentais iraquianas foi citado como evidência de um possível interesse comum na coleta de inteligência.

Fontes: The Hacker News.