عوامل تهدید در گروه DarkBlinders در یک کمپین جاسوسی سایبری (Cyberespionage) که رژیم صیهونیستی و اقلیم کردستان عراق را هدف قرار داده است، از یک اپلیکیشن جعلی کنفرانس ویدئویی و مخازن GitHub برای نفوذ استفاده می‌کنند.
جزئیات عملیات و متدهای نفوذ
تحقیقات نشان می‌دهد که این گروه از ترکیب جعل ایمیل‌های دولتی، صفحات اشتراک‌گذاری ابری جعلی و یک کلاینت کنفرانس فریبنده به نام StarkMeet استفاده کرده‌اند. زیرساخت‌های فیشینگ (Phishing) این گروه به گونه‌ای طراحی شده بود که وزارت امور خارجه کویت و دبیرخانه شورای همکاری خلیج فارس را شبیه‌سازی کند، که نشان‌دهنده هدف قرار دادن اهداف دیپلماتیک گسترده‌تر است.
برنامه StarkMeet در ظاهر یک نرم‌افزار قانونی است که پیش‌نمایش دوربین، میکروفون و صفحه نمایش را نمایش می‌دهد، اما در هنگام تلاش برای پیوستن به یک جلسه، همواره خطای اتصال می‌دهد. در واقع، این برنامه تنها یک پوشش برای استقرار اجزای مخرب در مسیر %LOCALAPPDATA%MicrosoftRuntimeBroker است.
تکنیک‌های پایداری و مخفی‌سازی
برای ایجاد پایداری (Persistence)، این بدافزار از یک فایل قانونی مایکروسافت به نام vshost.exe استفاده می‌کند که به RuntimeBroker.exe تغییر نام یافته و سپس فایل RuntimeBroker.dll را از طریق مکانیزم AppDomainManager بارگذاری می‌کند. این روش باعث می‌شود بدافزار حتی پس از حذف اپلیکیشن StarkMeet، روی سیستم باقی بماند.
- مدیریت و فرماندهی (C2): لودر بدافزار از یک توکن GitHub برای ثبت سیستم‌های عفونی در مخزن
PeakyBlindersTeam/myLicاستفاده می‌کند. اطلاعاتی نظیر نام کاربر، نام ماشین، دامنه و وضعیت پایداری به اپراتورها ارسال می‌شود تا اهداف مورد نظر را برای مراحل بعدی انتخاب کنند. - فعال‌سازی انتخابی: برای سیستم‌های برگزیده، اپراتورها یک کد لایسنس ارسال می‌کنند که هش SHA-256 آن به عنوان کل AES-256-CBC برای رمزگشایی
RuntimeBrokerApi.dllبه کار می‌رود.
دور زدن سیستم‌های شناسایی
بک‌دور (Backdoor) استقرار یافته، هر ۶۳ ثانیه یک بار با مخزن myCode در GitHub ارتباط برقرار می‌کند. این بدافزار از یک فایل کمکی به نام PsProxy.dll استفاده می‌کند تا دستورات PowerShell را در یک Runspace داخلی اجرا کند، بدون اینکه پردازش powershell.exe را در سیستم اجرا نماید. این تکنیک باعث می‌شود ابزارهای شناسایی که متکی به پایش Child Processها هستند، متوجه فعالیت بدافزار نشوند.
تحلیل نهایی و انتساب
تحلیلگران امنیتی همپوشانی متوسط تا بالایی بین این عملیات و گروه‌های UNC5795 و Dust Specter مشاهده کرده‌اند. همچنین شواهدی نظیر استفاده از کیبورد فارسی و زیرساخت‌های میزبانی ایرانی، احتمال ارتباط این کمپین با گروه APT34 را تقویت می‌کند، هرچند این موارد به تنهایی برای انتساب قطعی (Attribution) کافی نیستند.
