Pesquisadores de cibersegurança divulgaram detalhes de uma campanha de espionagem cibernética contra Israel e a Região do Curdistão, no Iraque. A operação foi conduzida entre agosto e outubro de 2026 por um threat actor alinhado ao Estado iraniano.
Segundo um relatório publicado pela Dream Research Labs, a campanha comprometeu uma pessoa de alto perfil em Israel e também afetou um ambiente de cloud governamental na Região do Curdistão.
A atividade foi atribuída ao threat actor conhecido como DarkBlinders, um grupo ligado ao Irã que, segundo avaliações, está ativo desde pelo menos setembro de 2024. O grupo foi associado a ataques contra a infraestrutura de aviação e o setor de telecomunicações nos Emirados Árabes Unidos e no Iraque. Não há sobreposição técnica entre suas operações e as de outros grupos de hackers conhecidos.
Os ataques do grupo costumam começar com spear phishing. As vítimas são induzidas a abrir ferramentas adulteradas com trojan ou a acessar sites controlados pelos atacantes, que oferecem ferramentas semelhantes para download direto.
Cadeias de ataque documentadas anteriormente pela Elastic Security Labs e pelo Group-IB levaram à instalação do SHELBYLOADER, também conhecido como HOTAIR. O malware é executado por meio de carregamento lateral de DLL e, por fim, instala um backdoor chamado SHELBYC2, também conhecido como AEROSTAT. Ele usa o GitHub para C2, exfiltração de dados e controle remoto. A Elastic acompanha o cluster de ameaças com o nome REF8685.
No início do mês passado, a Palo Alto Networks revelou uma campanha chamada Blinder Tunnel. Nela, o threat actor, identificado pela empresa como CL-STA-1178, se passou pelo departamento de TI do Dubai Airports para distribuir desafios de programação adulterados com malware a alvos de alto valor.
O esquema de recrutamento falso foi detectado pela primeira vez no fim de março de 2026, mas há indícios de que os atacantes preparavam e testavam a infraestrutura da operação desde novembro de 2025.
A campanha de engenharia social teria abordado alvos específicos com ofertas de emprego lucrativas para convencê-los a executar um aplicativo independente. O programa imitava um portal de carreiras e pedia que as vítimas respondessem a um questionário.
O envio das respostas não provoca a exfiltração de dados nem inicia qualquer comunicação com um domínio externo. Essa etapa funciona como uma isca inofensiva para ganhar credibilidade antes da entrega do payload subsequente, que contém o malware disfarçado de arquivo de projeto do Microsoft Visual Studio e apresentado como um teste de programação.
A cadeia de ataque emprega três técnicas para estabelecer acesso persistente. Primeiro, um arquivo malicioso de projeto C#, com extensão “.csproj”, aciona a injeção de AppDomainManager. Em seguida, o carregamento lateral de DLL instala uma versão atualizada do SHELBYLOADER, também chamado ShelbyLoader V2, que inicia o SHELBYC2. O SHELBYC2 também é usado para instalar uma ferramenta de tunelamento chamada Blackwood.
“Os atacantes por trás da operação usaram técnicas de engenharia social personalizadas para se passar por recrutadores do Dubai Airports. Eles utilizaram um desafio de programação adulterado do Visual Studio para atingir uma pessoa em busca de emprego, considerada um alvo de alto valor e localizada no Iraque”, afirmou a Unit 42.
“A campanha se caracteriza pelo uso indevido de ferramentas de desenvolvimento integradas e pelo carregamento lateral de DLL. Os atacantes também recorreram ao sequestro de AppDomainManager para contornar mecanismos de monitoramento de segurança, como o ETW [Event Tracing for Windows].”
As descobertas mais recentes da Dream indicam que o threat actor continua recorrendo à engenharia social e combina phishing de credenciais com a distribuição de malware. Para isso, usa domínios que imitam sites governamentais, serviços de webmail e serviços de cloud, com o objetivo de coletar credenciais ou oferecer downloads de arquivos controlados pelos atacantes. Entre os domínios identificados estão:
- gcc-sg[.]cloud/owa/auth/logon.aspx
- mfakuwait[.]online/owa/auth/logon.aspx
- moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O
O grupo também foi observado criando domínios que imitam marcas para distribuir um aplicativo falso de videoconferência chamado StarkMeet. Entre eles estão stark-meet[.]com, stark-meet[.]online e stark-meet[.]website. Instalar e iniciar o aplicativo leva à execução do ShelbyLoader V2 e do SHELBYC2.
A atividade também indica que o threat actor está testando diferentes formas de distribuir malware, de avaliações de programação a softwares falsificados.
A Dream afirmou que as operações do DarkBlinders pertencem ao mesmo cluster operacional que UNC5795 e Dust Specter, com base em sobreposições de infraestrutura e malware. Documentada pela Zscaler em março de 2026, a Dust Specter é uma operação supostamente ligada ao Irã que tem como alvo autoridades do governo iraquiano, imitando o Ministério das Relações Exteriores do país.
“Impressões digitais históricas de servidores, sobreposição entre os perfis das vítimas e análises que corroboram a atribuição nos levam a avaliar, com confiança moderada, que UNC5795 e UNC5187 podem ser subclusters relacionados dentro do grupo APT34”, acrescentou a Dream.
“O foco compartilhado em órgãos do governo iraquiano dá contexto a essa conexão técnica e sugere um interesse comum na coleta de informações. Em conjunto com as associações de ambos ao APT34, essas evidências sustentam, com confiança moderada, a avaliação de que os dois clusters têm relação operacional e podem pertencer ao mesmo grupo mais amplo.”
Prince of Persia hospeda C2 nos EUA pela primeira vez em uma década
A divulgação ocorre enquanto o Prince of Persia, também conhecido como Infy, um grupo menos conhecido patrocinado pelo governo iraniano, foi observado operando um de seus servidores C2, “68.65.122[.]203”, nos EUA neste ano. O servidor provavelmente foi configurado em julho de 2026.
A infraestrutura é um servidor C2 de segundo estágio associado ao Tornado, uma variante do Tonnerre distribuída por meio de vulnerabilidades de software já conhecidas. A ferramenta usa HTTPS e a API do Telegram para C2. O surgimento de novos servidores C2 no fim de maio de 2026 ocorreu após três meses de inatividade, período descrito como “a maior pausa em quase duas décadas de atividade do threat actor”.
“Monitoramos as atividades de exfiltração do Prince of Persia nos últimos seis meses”, afirmou Tomer Bar, vice-presidente associado de pesquisa em segurança da Semperis. “O número de vítimas continua baixo, o que pode indicar ataques direcionados ou dificuldades para infectar novas vítimas.”
“O threat actor iraniano decidiu hospedar seu novo servidor C2 em território dos EUA, ao mesmo tempo que começavam as hostilidades recentes entre Irã e Estados Unidos. Esse era o último lugar onde esperávamos encontrar o grupo escondido.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...