Pesquisadores de segurança cibernética revelaram detalhes de uma campanha de espionagem cibernética contra Israel e a Região do Curdistão do Iraque, conduzida por um grupo de ameaça alinhado ao governo iraniano entre agosto e outubro de 2026.
Segundo um relatório publicado pela Dream Research Labs, a campanha resultou no comprometimento de uma pessoa de alto perfil em Israel, além de outros comprometimentos que afetaram um ambiente de nuvem do governo na Região do Curdistão.
A atividade foi atribuída a um grupo de ameaça conhecido como DarkBlinders, com vínculos com o Irã, considerado ativo desde pelo menos setembro de 2024 e associado a ataques contra infraestrutura de aviação e telecomunicações nos Emirados Árabes Unidos e no Iraque. O grupo não apresenta sobreposição técnica com outros grupos de invasores conhecidos.
Os ataques conduzidos pelo grupo costumam depender de spear-phishing (phishing direcionado) como via inicial de acesso, para induzir destinatários a abrir utilitários infectados com trojan ou a clicar em sites controlados pelos atacantes, que hospedam ferramentas semelhantes para download direto.
Cadeias de ataque documentadas anteriormente pela Elastic Security Labs e pela Group-IB levaram à implantação do SHELBYLOADER (também conhecido como HOTAIR), executado por meio de carregamento lateral de DLL (biblioteca de vínculo dinâmico) para, em seguida, executar uma porta dos fundos chamada SHELBYC2 (também conhecida como AEROSTAT). Esse componente usa o GitHub para comando e controle (C2), exfiltração de dados e controle remoto. A Elastic acompanha esse agrupamento de ameaças sob o codinome REF8685.
No início do mês passado, a Palo Alto Networks lançou luz sobre uma campanha chamada Blinder Tunnel, na qual o grupo, que a empresa chama de CL-STA-1178, foi observado se passando pelo departamento de TI (tecnologia da informação) da Dubai Airports para distribuir desafios de programação infectados com malware a alvos de alto valor.
O esquema falso de recrutamento foi detectado pela primeira vez no fim de março de 2026, embora evidências indiquem que os atacantes já preparavam e testavam a infraestrutura de ataque desde novembro de 2025.
Avalia-se que a campanha de engenharia social tenha abordado alvos específicos com ofertas de emprego lucrativas, para induzi-los a executar uma aplicação autocontida que imitava um portal de carreiras e pedia que preenchessem um questionário.
O envio do questionário não causa a exfiltração de dados nem dispara qualquer resposta de um domínio externo. Na prática, ele serve como isca inofensiva para ganhar credibilidade antes de entregar o próximo estágio, que contém o malware na forma de um arquivo compactado de projeto do Microsoft Visual Studio disfarçado de teste de programação.
A cadeia de ataque usa três técnicas para estabelecer acesso persistente: um arquivo de projeto C# malicioso (".csproj") aciona a injeção de AppDomainManager, seguida de carregamento lateral de DLL para entregar uma versão atualizada do SHELBYLOADER (também conhecido como ShelbyLoader V2), que então inicia o SHELBYC2. Também implantado pelo SHELBYC2 está um utilitário de tunelamento chamado Blackwood.
"Os atacantes por trás da atividade usaram técnicas de engenharia social personalizadas para se passar por recrutadores da Dubai Airports, utilizando um desafio de programação do Visual Studio infectado com trojan para atingir um candidato a emprego de alto valor baseado no Iraque", disse a Unit 42.
"A campanha se caracteriza pelo uso indevido de ferramentas nativas para desenvolvedores e pelo carregamento lateral de DLL. Os atacantes também usaram sequestro de AppDomainManager para contornar monitores de segurança como o ETW (Rastreamento de Eventos para Windows)."
As descobertas mais recentes da Dream mostram que o grupo continua a depender de engenharia social, combinando phishing de credenciais com a distribuição de malware. Isso envolve o uso de domínios falsos que imitam governos, serviços de webmail e de nuvem, para coletar credenciais ou apresentar downloads de arquivos controlados pelos atacantes. Alguns dos domínios destacados são:
- gcc-sg[.]cloud/owa/auth/logon.aspx
- mfakuwait[.]online/owa/auth/logon.aspx
- moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O
O grupo também foi observado configurando domínios de marca falsos para um aplicativo de videoconferência fictício chamado StarkMeet (stark-meet[.]com, stark-meet[.]online e stark-meet[.]website). A instalação e a abertura do aplicativo levam à execução do ShelbyLoader V2 e do SHELBYC2.
A evolução também indica que o grupo está testando diferentes métodos de distribuição de malware, que vão desde testes de programação até softwares falsificados.
A Dream afirmou que a atividade do DarkBlinders pertence ao mesmo agrupamento operacional do UNC5795 e do Dust Specter, citando sobreposições de infraestrutura e de malware. O Dust Specter, documentado pela Zscaler em março de 2026, refere-se a uma suposta operação com vínculos com o Irã que tem como alvo funcionários do governo iraquiano ao se fazer passar pelo Ministério das Relações Exteriores do país.
"Registros históricos de servidores, sobreposição de vítimas e pesquisas de atribuição de apoio nos levam a avaliar, com confiança média, que o UNC5795 e o UNC5187 podem representar subagrupamentos relacionados dentro do grupo mais amplo APT34 (ameaça persistente avançada)", acrescentou a Dream.
"O foco sobreposto em entidades do governo iraquiano acrescenta contexto a essa conexão técnica e sugere um interesse compartilhado em coleta de inteligência. Combinados com suas respectivas associações ao APT34, esses achados sustentam uma avaliação de confiança média de que os dois agrupamentos estão operacionalmente relacionados e podem pertencer ao mesmo grupo mais amplo."
Prince of Persia hospeda servidor de comando e controle (C2) nos EUA pela primeira vez em uma década
A divulgação ocorre enquanto o Prince of Persia (também conhecido como Infy), um grupo de ameaça pouco conhecido patrocinado pelo governo iraniano, foi observado operando um de seus servidores de C2 ("68.65.122[.]203") a partir dos EUA neste ano. O servidor provavelmente foi criado em julho de 2026.
A infraestrutura é um servidor de C2 de segundo estágio associado ao Tornado, uma variante do Tonnerre distribuída por meio de vulnerabilidades one-day (falhas já divulgadas publicamente), que usa tanto HTTPS (protocolo de transferência de hipertexto seguro) quanto a API (interface de programação de aplicações) do Telegram para comando e controle. O surgimento de novos servidores de C2 no fim de maio de 2026 segue três meses de inatividade, descritos como o "maior período de inatividade em quase duas décadas de atividade do grupo".
"Monitoramos a atividade de exfiltração do Prince of Persia nos últimos seis meses", disse Tomer Bar, vice-presidente associado de pesquisa em segurança da Semperis. "O número de vítimas continua baixo, o que pode indicar ataques direcionados ou dificuldades para infectar novas vítimas."
"O grupo de ameaça iraniano decidiu hospedar seu novo servidor de C2 em solo americano, no mesmo momento em que começaram as recentes hostilidades entre o Irã e os Estados Unidos. Este é o último lugar onde esperávamos encontrar o grupo escondido."
