חוקרי Dream Research Labs מתארים קמפיין ריגול של קבוצה בשם DarkBlinders, שמוערכת כקשורה לאיראן. בין אוגוסט לאוקטובר 2026 נפגעו אדם בולט בישראל וסביבת ענן ממשלתית באזור כורדיסטן שבעיראק.
הפרטים
לפי החוקרים הקבוצה פעילה לפחות מספטמבר 2024. הם מייחסים אותה, ברמת ביטחון בינונית, לאותו אשכול פעילות של UNC5795 ו-Dust Specter, ומעריכים שייתכן שיש קשר ל-APT34. הדיווח מציין שאין חפיפה טכנית עם קבוצות מוכרות אחרות.
הגישה הראשונית כללה פישינג ממוקד ודומיינים מתחזים של אתרי ממשל, דואר וענן. בתרחיש אחד הוצגה הצעת עבודה מזויפת מטעם גורם גיוס של נמלי תעופה בדובאי: הקורבן מילא שאלון ואז קיבל ארכיון פרויקט Visual Studio כמבחן קוד. קובץ .csproj זדוני הפעיל הזרקת AppDomainManager ו-DLL sideloading, שהובילו להתקנת ShelbyLoader V2 ו-SHELBYC2, דלת אחורית שמשתמשת ב-GitHub לשליטה. תרחיש נוסף השתמש באפליקציית וידאו מזויפת בשם StarkMeet.
נקודות לשים לב
- חסום ובדוק בלוגי DNS ופרוקסי גישה לדומיינים שפורסמו: gcc-sg[.]cloud, mfakuwait[.]online, moelcloud[.]online ו-stark-meet[.]com.
- התייחס בחשדנות להצעות גיוס ול"מבחני קוד" בארכיון פרויקט מגורם לא מוכר, ולאפליקציות פגישה שלא הותקנו דרך הארגון.
- חפש קובצי
.csprojאו הגדרות AppDomainManager חריגים, ותעבורה מתחנות לא-מפתחים אל GitHub. - הדיווח לא מפרסם גיבובי קבצים או כתובות C2; את אלה יש לחפש בדוח המלא של Dream.
- השיוך לאיראן ול-APT34 הוא הערכה ברמת ביטחון בינונית, לא קביעה חד-משמעית.
מקורות: Dream Research Labs · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
