Иранская группа DarkBlinders атаковала высокопоставленного чиновника в Израиле и облако правительства Курдистана
Иранская группа DarkBlinders скомпрометировала высокопоставленное лицо в Израиле и облачную среду правительства Курдистанского региона Ирака. Атаки велись с августа по октябрь 2026 года, по данным отчёта Dream Research Labs.
Главное в цифрах
- Период атак: с августа по октябрь 2026 года
- Группа действует как минимум с сентября 2024 года
- Первое обнаружение поддельных вакансий Dubai Airports: конец марта 2026 года
Исследователи Dream Research Labs сообщили о кампании кибершпионажа против Израиля и Курдистанского региона Ирака. Группа DarkBlinders, связанная с Ираном, атаковала высокопоставленное лицо в Израиле и облачную среду региональных властей Курдистана. По данным Dream, группа действует как минимум с сентября 2024 года и ранее атаковала авиационную инфраструктуру и телекоммуникации ОАЭ и Ирака. Технических пересечений с другими известными хакерскими группами исследователи не нашли.
Атаки строятся на фишинге: получателям предлагают открыть троянизированные утилиты или перейти на сайты атакующих, где лежат похожие инструменты.
Поддельные вакансии и тестовые задания
Ранее Elastic Security Labs и Group-IB описывали цепочки атак, в которых использовался SHELBYLOADER (он же HOTAIR) и бэкдор SHELBYC2 (он же AEROSTAT), работающий через GitHub для управления и выгрузки данных.
В марте 2026 года Palo Alto Networks зафиксировала кампанию Blinder Tunnel. Атакующие, которых компания называет CL-STA-1178, выдавали себя за IT-отдел Dubai Airports и рассылали поддельные вакансии. Жертвам предлагали заполнить анкету в приложении, имитирующем карьерный портал, а затем запустить проект Visual Studio под видом тестового задания. Анкета служила безобидной приманкой, а вредоносный проект доставлял следующий этап заражения: C#-файл .csproj запускал внедрение AppDomainManager, после чего DLL-сайдлоадинг разворачивал обновлённый SHELBYLOADER V2 и бэкдор SHELBYC2. Через него также ставилась утилита туннелирования Blackwood.
Связь с другими кластерами
Dream считает, что DarkBlinders относится к тому же оперативному кластеру, что UNC5795 и Dust Specter, на основании совпадений в инфраструктуре и вредоносном ПО. Dust Specter, по данным Zscaler за март 2026 года, нацелен на государственных чиновников Ирака, выдавая себя за МИД страны.
Dream со средней степенью уверенности оценивает, что UNC5795 и UNC5187 могут быть связанными подкластерами более широкой группы APT34.
