DarkBlinders, İsrail ve Irak Kürt Yönetimi'ni Hedef Aldı

Siber güvenlik araştırmacıları, İran ile bağlantılı bir tehdit aktörünün 2026 yılının Ağustos ve Ekim ayları arasında İsrail ve Irak Kürt Bölgesi'ni hedef alan bir siber casusluk kampanyası yürüttüğünü açıkladı. Dream Research Labs tarafından yayımlanan rapora göre, bu kampanya sonucunda İsrail'deki yüksek profilli bir bireyin yanı sıra, Irak Kürt Bölgesi'ndeki bir hükümet bulut ortamı da tehlikeye girdi.

DarkBlinders Hakkında

Saldırıların, DarkBlinders olarak bilinen bir tehdit aktörü tarafından gerçekleştirildiği kaydedildi. Bu grup, en azından Eylül 2024'ten beri aktif olduğu değerlendirilen ve Birleşik Arap Emirlikleri ile Irak'taki havacılık altyapılarına ve telekomünikasyon sistemlerine yönelik saldırılarla bağlantılı bir İran merkezli grubudur. DarkBlinders, diğer bilinen hacker gruplarıyla teknik bir örtüşme göstermemektedir.

Grup, ilk erişim yolu olarak oltalama (spear-phishing) yöntemini kullanarak hedeflerini, kötü amaçlı yazılımlarla dolu araçları açmaya veya saldırganların kontrolündeki web sitelerine yönlendirmeye teşvik etmektedir. Daha önce Elastic Security Labs ve Group-IB tarafından belgelenen saldırı zincirleri, DLL yan yükleme yöntemiyle başlatılan SHELBYLOADER (HOTAIR olarak da bilinir) adlı bir arka kapının dağıtımına yol açmıştır. Bu arka kapı, GitHub'ı komut ve kontrol (C2), veri sızdırma ve uzaktan kontrol için kullanmaktadır.

Sosyal Mühendislik Taktikleri

Geçtiğimiz ay Palo Alto Networks, CL-STA-1178 olarak adlandırdığı tehdit aktörünün, Dubai Havalimanları IT departmanını taklit ederek yüksek değerli hedeflere kötü amaçlı yazılımlar içeren kodlama zorlukları dağıttığı bir kampanya hakkında bilgi verdi. Bu sahte işe alım planı, 2026 yılının Mart ayının sonlarında tespit edildi, ancak saldırganların altyapıyı test etmeye başladığına dair kanıtlar, 2025 yılının Kasım ayına kadar uzanıyor.

Sosyal mühendislik kampanyası, belirli hedeflere cazip iş teklifleri sunarak onları kariyer portalını taklit eden bir uygulamayı çalıştırmaya ikna etmeye çalıştı. Anketi doldurmak, herhangi bir verinin sızdırılmasına veya harici bir alanın yanıt vermesine neden olmuyor. Bunun yerine, bu işlem, saldırganların sonraki aşama yükünü içeren kötü amaçlı yazılımı teslim etmeden önce güvenilirlik oluşturmak için bir aldatmaca olarak kullanılmaktadır.

Kötü Amaçlı Yazılım Dağıtımı

Saldırı zinciri, sürekli erişim sağlamak için üç teknik kullanmaktadır: Kötü amaçlı bir C# projesi olan " .csproj " dosyası, AppDomainManager enjekte edilmesini tetikler, ardından DLL yan yükleme ile SHELBYLOADER'ın güncellenmiş bir versiyonu dağıtılır. Bu süreç, SHELBYC2'yi başlatır. Ayrıca, SHELBYC2 aracılığıyla Blackwood adlı bir tünelleme aracı da dağıtılmaktadır.

Dream'in en son bulguları, tehdit aktörünün sosyal mühendislik taktiklerine dayanarak hem kimlik avı hem de kötü amaçlı yazılım dağıtımı yöntemlerini birleştirdiğini göstermektedir. Bu, hükümet, webmail ve bulut hizmetlerine benzer alanların kullanılması yoluyla kimlik bilgilerini toplamak veya saldırgan kontrolündeki dosya indirmeleri sunmak için yapılmaktadır.

Sonuç

DarkBlinders'ın faaliyetleri, UNC5795 ve Dust Specter ile aynı operasyonel kümeye ait olduğu belirtilmekte ve bu durum, Irak hükümetine yönelik bir istihbarat toplama ilgisini işaret etmektedir. Bu bulgular, iki grubun operasyonel olarak ilişkili olabileceğini ve daha geniş bir APT34 grubuna ait olabileceğini göstermektedir.