DarkBlinders 攻陷以色列目标及伊拉克库尔德政府云环境

网络安全研究人员披露了一场针对以色列和伊拉克库尔德地区的网络间谍活动的细节，该活动由一名与伊朗国家结盟的威胁行为者于 2026 年 8 月至 10 月间实施。

根据 Dream Research Labs 发布的一份报告，该活动导致以色列一名知名人士被攻陷，此外还影响了库尔德地区的一个政府云环境。

该活动被归因于一个名为 DarkBlinders 的威胁行为者——一个与伊朗有关联的组织，评估至少自 2024 年 9 月起活跃，并与针对阿联酋和伊拉克航空基础设施及电信的攻击有关。它与其他已知黑客组织没有技术上的重叠。

已知该组织发动的攻击依赖鱼叉式钓鱼作为初始访问途径，诱使收件人打开木马化工具，或点击托管类似工具并提供直接下载的攻击者控制网站。

Elastic Security Labs 和 Group-IB 此前记录的攻击链最终部署了 SHELBYLOADER（又称 HOTAIR），它通过 DLL 侧加载启动，最终执行一个名为 SHELBYC2（又称 AEROSTAT）的后门，该后门使用 GitHub 进行命令与控制（C2）、数据窃取和远程控制。Elastic 以 REF8685 为代号追踪该威胁集群。

随后在上月初，Palo Alto Networks 披露了一场名为 Blinder Tunnel 的活动，其中该威胁行为者（其称之为 CL-STA-1178）被观察到冒充 Dubai Airports IT 部门，向高价值目标分发带有恶意软件的编程挑战。

这一虚假招聘手法最早于 2026 年 3 月下旬被发现，尽管有证据表明攻击者早在 2025 年 11 月就开始部署和测试攻击基础设施。

该社会工程活动被评估为以丰厚的工作机会接近特定目标，诱骗其执行一个模仿招聘门户的自包含应用，并指示其填写一份问卷。

提交问卷不会导致任何数据被窃取，也不会引发来自外部域的任何响应。相反，它被设计为一个无害的诱饵，在投递下一阶段载荷之前建立可信度——该载荷以伪装成编程评估的 Microsoft Visual Studio 项目压缩包形式包含恶意软件。

该攻击链利用三种技术建立持久访问：一个恶意的 C# 项目 ".csproj" 文件被用于触发 AppDomainManager 注入，随后通过 DLL 侧加载投递更新版本的 SHELBYLOADER（又称 ShelbyLoader V2），后者再启动 SHELBYC2。此外还通过 SHELBYC2 部署了一个名为 Blackwood 的隧道工具。

"该活动背后的攻击者使用量身定制的社会工程技术冒充 Dubai Airports 招聘人员，利用一个木马化的 Visual Studio 编程挑战针对一名位于伊拉克的高价值求职者，" Unit 42 表示。

"该活动的特点是滥用内置开发者工具和 DLL 侧加载。攻击者还使用 AppDomainManager 劫持来绕过 ETW（Windows 事件跟踪）等安全监控。"

Dream 的最新发现表明，该威胁行为者继续依赖社会工程，同时结合凭据钓鱼和恶意软件投递。这涉及使用政府、网络邮箱和云服务的仿冒域名来收集凭据或提供攻击者控制的文件下载。一些被重点提及的域名包括：

gcc-sg[.]cloud/owa/auth/logon.aspx
mfakuwait[.]online/owa/auth/logon.aspx
moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O

该威胁行为者还被观察到为一个名为 StarkMeet 的虚假视频会议应用设置诱饵品牌域名（stark-meet[.]com、stark-meet[.]online 和 stark-meet[.]website）。安装并启动该应用会导致 ShelbyLoader V2 和 SHELBYC2 的执行。

这一发展也表明该威胁行为者正在尝试不同的恶意软件投递方式，从编程评估到假冒软件。

Dream 表示，DarkBlinders 活动与 UNC5795 和 Dust Specter 属于同一运营集群，理由是基础设施和恶意软件存在重叠。Dust Specter 由 Zscaler 于 2026 年 3 月记录，指一个疑似与伊朗有关联的行动，通过冒充伊拉克外交部针对该国政府官员。

"历史服务器指纹、重叠的受害者特征以及支持性归因研究使我们以中等置信度评估，UNC5795 和 UNC5187 可能是更广泛的 APT34 组织内的相关子集群，" 它补充道。

"它们对伊拉克政府实体的重叠关注为这一技术关联增添了背景，并表明存在共同的情报收集兴趣。结合它们各自与 APT34 的关联，这些发现支持中等置信度的评估，即这两个集群在运营上相关，可能属于同一个更广泛的组织。"

Prince of Persia 十年来首次在美国托管 C2

这一披露之际，伊朗政府支持的鲜为人知的威胁组织 Prince of Persia（又称 Infy）今年被观察到从美国运行其一个 C2 服务器（"68.65.122[.]203"）。该服务器很可能建于 2026 年 7 月。

该基础设施是一个与 Tornado 相关的第二阶段 C2 服务器——Tornado 是 Tonnerre 的一个变种，通过一日软件漏洞投递，并使用 HTTPS 和 Telegram API 进行 C2。2026 年 5 月下旬新 C2 服务器的出现，是在三个月的沉寂之后，这被称为 "该威胁行为者近二十年活动中最长的停机时间"。

"过去六个月我们一直在监控 Prince of Persia 的窃取活动，" Semperis 安全研究副总裁 Tomer Bar 表示。"受害者数量仍然很少，这可能表明是针对性攻击，或难以感染新受害者。"

"该伊朗威胁行为者决定在美国本土托管其新的 C2 服务器——恰逢近期伊朗与美国之间敌对行动开始之际。这是我们最不期望发现该威胁行为者藏身的地方。"