חוקרי Dream Research Labs חשפו קמפיין ריגול של קבוצה בשם DarkBlinders, שמוערכת כבעלת זיקה לאיראן ופעילה לפחות מספטמבר 2024. בין אוגוסט לאוקטובר 2026 נפגעו אדם בכיר בישראל וסביבת ענן ממשלתית באזור כורדיסטן שבעיראק. אין פרטים על זהות הנפגע או על היקף הפריצה בענן.
הפרטים
הגישה הראשונית נעשתה בפישינג ממוקד: קורבנות שוכנעו להריץ כלים מושתלים, או הגיעו לאתרים מתחזים. נעשה שימוש בדומיינים הדומים לאתרי ממשל, דואר וענן, ובאפליקציית וידאו-קונפרנס מזויפת בשם StarkMeet. בנוסף נעשה שימוש בהצעות עבודה ובמבחני תכנות מזויפים, בהם ארכיון פרויקט Visual Studio.
שרשרת ההדבקה מבוססת על קובצי .csproj שמפעילים הזרקה דרך AppDomainManager (שעוקפת ניטור ETW), ואחריה טעינת DLL צדדית של ShelbyLoader V2, שמפעיל את הדלת האחורית SHELBYC2. זו משתמשת ב-GitHub לשליטה ולהוצאת מידע. Dream מעריכה ברמת ביטחון בינונית שהקבוצה קשורה לאשכולות הנקשרים ל-APT34 (OilRig); זו הערכה ולא וודאות.
נקודות לשים לב
- התייחס בחשדנות להצעות עבודה ולמבחני תכנות שמבקשים להריץ פרויקט שהורדת, במיוחד אם אתה בתפקיד בכיר או רגיש.
- התרע על קובצי
.csprojאו פרויקטי Visual Studio שטוענים DLL או מריצים קוד לא צפוי, ועל שינויים בהגדרות AppDomainManager. - עקוב אחר תעבורה יוצאת ל-GitHub ממחשבים שאינם משתמשים בו לאוטומציה.
- הפעל אימות רב-שלבי עמיד לפישינג לדואר ולענן, וחסום את הדומיינים שפורסמו במחקר המקורי.
- אל תסיק מהדיווח על היקף רחב נגד ארגונים בישראל: המקור מדווח על נפגע ישראלי אחד.
מקורות: The Hacker News · Dream Research Labs
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
