محققان امنیت سایبری جزئیات یک کمپین جاسوسی سایبری را فاش کرده‌اند که بین ماه‌های اوت تا اکتبر ۲۰۲۶، رژیم صهیونیستی و منطقه کردستان عراق را هدف قرار داده است. این فعالیت‌ها به یک عامل تهدید (Threat Actor) مرتبط با ایران موسوم به DarkBlinders نسبت داده شده است که از سپتامبر ۲۰۲۴ فعال بوده و پیش از این نیز با حملاتی به زیرساخت‌های هوانوردی و مخابراتی در امارات متحده عربی و عراق مرتبط بوده است.
تکنیک‌های دسترسی و زنجیره حمله
حملات این گروه عمدتاً بر پایه مهندسی اجتماعی (Social Engineering) و روش Spear-phishing استوار است. مهاجمان با استفاده از نقش‌های جعلی، مانند استخدام‌کنندگان فرودگاه دبی، قربانیان را فریب می‌دهند تا فایل‌های آلوده را دانلود کنند. یکی از روش‌های نوین آن‌ها استفاده از چالش‌های کدنویسی جعلی در قالب پروژه‌های Microsoft Visual Studio است که در واقع حاوی بدافزار هستند.
زنجیره حمله شامل مراحل زیر است:
- استفاده از فایل‌های .csproj برای اجرای تکنیک AppDomainManager injection.
- بهره‌گیری از تکنیک DLL sideloading برای اجرای نسخه به‌روزشده‌ای از بدافزار SHELBYLOADER.
- اجرای بک‌دور (Backdoor) موسوم به SHELBYC2 که از GitHub برای کنترل فرمان (C2) و استخراج داده‌ها (Data Exfiltration) استفاده می‌کند.
- استفاده از ابزار تونل‌سازی Blackwood برای حفظ دسترسی.
ارتباط با گروه‌های APT و تغییرات زیرساختی
تحقیقات نشان می‌دهد که فعالیت‌های DarkBlinders با گروه‌های UNC5795 و Dust Specter هم‌پوشانی دارد و احتمالاً زیرمجموعه‌ای از گروه بزرگ‌تر APT34 محسوب می‌شود. همچنین، گزارش‌ها حاکی از فعالیت غیرمنتظره گروه Prince of Persia (Infy) است که برای اولین بار در یک دهه اخیر، یکی از سرورهای C2 خود را در خاک ایالات متحده میزبانی کرده است. این تغییر در زیرساخت می‌تواند نشان‌دهنده تلاش مهاجمان برای پنهان شدن در محیط‌های غیرمنتظره باشد.
