İran bağlantılı DarkBlinders, İsrail'de bir hedefi ve Irak Kürt bölgesi devlet bulutunu ele geçirdi

Araştırmacıların DarkBlinders olarak adlandırdığı İran bağlantılı bir tehdit aktörü, İsrail ve Irak'ın Kürdistan Bölgesi'ndeki hedeflere yönelik bir casusluk kampanyası yürüttü; üst düzey bir kişiyi ve bir devlet bulut ortamını ele geçirdi. The Hacker News'in aktardığı Dream Research Labs raporu bu bilgileri ortaya koyuyor.

Neler oldu?

The Hacker News'e göre Dream Research Labs, DarkBlinders'ın en az Eylül 2024'ten beri aktif olduğunu ve daha önce BAE ve Irak'taki havacılık altyapısı ile telekomünikasyona yönelik saldırılarla ilişkilendirildiğini değerlendiriyor. Ağustos-Ekim 2026 arasında grubun kampanyası İsrail'i ve Irak'ın Kürdistan Bölgesi'ni hedef aldı; İsrail'de üst düzey bir kişiyi ele geçirdi ve Kürdistan Bölgesi'nde bir devlet bulut ortamını etkiledi. Dream, aktörün diğer bilinen hacker gruplarıyla teknik örtüşme göstermediğini, ancak faaliyeti daha geniş bir operasyonel kümeye bağladığını söylüyor.

Teknik detaylar

Dream'e göre ilk erişim tipik olarak, kurbanları truva atlı araçlar çalıştırmaya veya saldırganın kontrolündeki sitelerden araç indirmeye yönlendiren hedefli oltalamayla sağlandı. Elastic ve Group-IB tarafından belgelenen önceki bulaşma zincirleri, DLL yan yükleme yoluyla HOTAIR olarak da bilinen SHELBYLOADER adlı bir yükleyiciyi devreye soktu; bu yükleyici de komuta-kontrol için GitHub kullanan SHELBYC2 (AEROSTAT) arka kapısını başlattı. Dream ayrıca kimlik bilgisi toplamak veya zararlı indirmeleri barındırmak için kullanılan taklit devlet, webmail ve bulut hizmeti alan adlarını ve başlatıldığında ShelbyLoader V2 ile SHELBYC2'yi çalıştıran "StarkMeet" adlı sahte bir görüntülü konferans uygulamasını da gözlemledi.

The Hacker News, Palo Alto Networks'ün Unit 42 ekibinin "Blinder Tunnel" (CL-STA-1178 olarak izlenen) adıyla bildirdiği ilişkili bir operasyona dikkat çekiyor; bu operasyonda saldırganlar Dubai Havalimanları işe alım görevlisi kılığına girip truva atlı bir Visual Studio kodlama görevi kullandı. Bu zincir, AppDomainManager enjeksiyonu için zararlı bir .csproj dosyasına ve ShelbyLoader V2'yi iletmek için DLL yan yüklemeye dayanıyordu; ETW izlemesini atlatmak için AppDomainManager ele geçirme ve Blackwood adlı bir tünelleme aracı da kullanıldı.

Atıf

Dream, DarkBlinders faaliyetinin altyapı ve zararlı yazılım örtüşmelerine dayanarak UNC5795 ve Dust Specter ile aynı operasyonel kümeye ait olduğunu söylüyor. UNC5795 ve UNC5187'nin daha geniş APT34 grubu içindeki ilişkili alt kümeler olabileceğini orta güvenle değerlendiriyor. Dust Specter, Zscaler tarafından Mart 2026'da Iraklı devlet görevlilerini hedef alan İran bağlantılı bir operasyon olarak belgelenmişti. Bu atıflar araştırmacıların değerlendirmeleridir ve bu tür kümelemelerde olduğu gibi kendi içinde belirsizlik taşır.

Ne yapmalı?

Hedeflenen bölgelerdeki ve sektörlerdeki kuruluşlar; mesajlaşma veya taklit alan adları üzerinden gelen istenmeyen iş teklifleri, kodlama görevleri ve yazılım indirmelerine temkinli yaklaşmalı. Savunmacılar DLL yan yükleme, AppDomainManager enjeksiyonu ve GitHub tabanlı komuta-kontrole giden şüpheli dış bağlantıları izleyebilir; devlet ve webmail portallarını taklit eden kimlik toplama sayfalarını dikkatle incelemeli. Görüntülü konferans ve işe alım araçlarının gerçekliğini çalıştırmadan önce resmî kanallardan doğrulamak, bu tür sosyal mühendislik erişimine maruz kalmayı azaltır.