DarkBlinders atacó el sistema de cloud del gobierno israelí: 5 cosas que debes saber
Tabla de contenido
Un actor de espionaje vinculado a Irán ha llevado a cabo todas las ondas documentadas de su campaña desde repositorios públicos de GitHub, y en octubre un equipo de investigación accedió a ellos. Informe de Dream Indica que el actor comprometió un entorno en la nube del gobierno en la Región del Kurdistán de Irak y a una persona de alto perfil en Israel entre agosto y octubre de 2026. Cuatro proveedores lo han rastreado bajo cuatro etiquetas diferentes. The Hacker News publicó los hallazgos el 2 de noviembre, y esto es la imagen completa.
1. ¿Qué es DarkBlinders?
Perfil de Group-IB DarkBlinders prevé hasta septiembre de 2024 y cuenta con siete organizaciones de víctimas confirmadas en la aviación y las telecomunicaciones en los Emiratos Árabes Unidos e Irak. Los operadores roban credenciales y documentos, no dinero, lo que apunta a la recopilación de inteligencia. También dan nombres a todo tipo de cosas con el nombre de Peaky Blinders: el malware se llama SHELBYLOADER y SHELBYC2, y las cuentas y dominios de GitHub llevan el apellido de la familia Shelby.
El perfil de Group-IB, actualizado en junio, indicaba que sus propios avistamientos habían cesado y estimaba que el actor probablemente había evolucionado su tecnología en lugar de retirarse. Unit 42 y Dream lo demostraron. El malware cambió. El canal de comandos de GitHub se mantuvo.
2. ¿Qué encontró Dream?
Dream ha desarrollado un programa de ingeniería inversa del malware StarkMeet y ha encontrado un token de acceso de GitHub incrustado en el cargador, según Resumen de GBHackers sobre el informe. El token otorgaba a los investigadores acceso solo de lectura a los repositorios que el actor utilizaba para registrar a las víctimas y emitir órdenes de trabajo. Elastic detectó la misma vulnerabilidad de diseño en un anterior ola, donde los atacantes expusieron sus propios tokens de GitHub.
La investigación reveló que los operadores trabajaban contra un entorno de nube gubernamental en la Región del Kurdistán y contra un individuo israelí de alto perfil asociado al sector de la seguridad. Anuncio de Dream añade que el actor robó credenciales y filtró al menos 1 GB de datos en la nube. StarkMeet es una aplicación falsa para videoconferencias. Se instala de forma limpia, muestra una interfaz de reunión convincente y, además, instala malware que permanece activo incluso después de eliminar la aplicación.
Los repositorios muestran moderación. Dream registró alrededor de diez primeras registraciones de hosts, pero solo dos víctimas en el canal de asignación de la segunda etapa, y Solo las víctimas elegidas recibieron la llave Esto desbloquea la puerta trasera de PowerShell cifrada. Las trampas estaban dirigidas a diplomáticos y funcionarios: páginas que imitaban al Ministerio de Relaciones Exteriores de Kuwait y la Secretaría General del Consejo de Cooperación del Golfo, inicios de sesión falsos en páginas web gubernamentales, páginas falsas de cloud drive y dominios con temática kurda como krgcloud[.]online y moelcloud[.]online. Si el canal principal fallaba, una rutina de recuperación verificaba cada hora los temas de problemas públicos de Microsoft/vscode relacionados con configuraciones cifradas ocultas en los comentarios.
3. ¿Por qué un actor tiene cuatro nombres?
Cuatro equipos de investigación documentaron partes de ella por separado, y Dream conecta las ondas.
- DarkBlinders: El nombre que Group-IB utiliza para definir el conjunto de intrusiones y el nombre que Dream utiliza.
- REF8685: El nombre dado por Elastic al clúster que alberga el malware SHELBY, que atacó una compañía de telecomunicaciones iraquí y utilizó GitHub para la administración y control.
- CL-STA-1178: El sello de la unidad 42 para el actor, evaluado con gran confianza como perteneciente al Estado iraní.
- Túnel de Blinder: El nombre que Unit 42 ha dado a su campaña de marzo de 2026, basada en falsos reclutadores de Aeropuertos de Dubái y pruebas de codificación de Visual Studio trojanizadas.
Informe del 6 de octubre de la Unidad 42 No se encontró ninguna vulnerabilidad en los propios aeropuertos de Dubái y se confirmó la identidad de una víctima, un probable ingeniero de software del sector de la infraestructura crítica de Irak. Infraestructura reutilizada vinculó la campaña a una operación israelí: una página parecida a Google Drive que ofrecía un archivo llamado WarUnPublishedDocuments.zip y que conducía a una falsa página de inicio de sesión de Google. Dream vincula la ola de agosto a octubre a cuatro anteriores documentadas por Elastic, Unit 42 y Group-IB. Esto suma cinco oleadas, cada una con su propio repositorio de GitHub.
4. ¿Qué tan seguros son los investigadores de que se trata de Irán?
Los vendedores están de acuerdo sobre la dirección y discrepan sobre la confiabilidad. Dream evalúa con gran confianza que la última ola es obra de un actor iraní en el clúster DarkBlinders, y con una confianza media a alta que se corresponde con UNC5795 y Dust Specter. Asigna una confianza media a una relación con UNC5187, que clasifica dentro de APT34. Unit 42 también afirma una confianza alta en la alineación estatal iraní, pero califica las similitudes con grupos específicos conocidos como bajas. Group-IB evalúa la conexión con Irán con una confianza baja y no encontró ninguna superposición técnica con grupos conocidos. Considera la atribución como vinculada a Irán, no como una conexión definitiva con APT34.
5. Lo que necesitas hacer ahora
Cada ataque comienza con un dominio similar, una aplicación falsa o una cuenta de usuario robada. Compruebe los registros de correo y proxy para detectar los dominios mencionados en los informes de Dream y Group-IB y bloquee los accesos a ellos. Observe el tráfico de la API de GitHub desde puntos finales que no tienen ninguna razón para comunicarse con ellos, y verifique el DNS para detectar resoluciones anormales, ya que Group-IB encontró que el malware utilizaba el DNS para obtener la clave de descifrado de la segunda etapa. Trate cualquier proyecto de Visual Studio creado por un reclutador como código no confiable. La unidad 42 descubrió que la trampa podía disparar cuando se abría el proyecto., Antes de que alguien lo compila, los equipos gubernamentales, diplomáticos e infraestructurales de la región del Golfo también deberían revisar las conexiones a la webmail y el acceso al almacenamiento en la nube por actividad que no puedan explicar.
Los dominios similares y las credenciales robadas son los primeros en los que CybelAngel se fija la atención. Protección de marca detecta y elimina dominios maliciosos que se hacen pasar por tu organización, y Inteligencia de Credenciales Antes de utilizar las credenciales filtradas, Group-IB detecta las filtraciones críticas. La ola de piratería de la aviación en los Emiratos Árabes Unidos comenzó de la misma manera: dominios similares que alojaban páginas de recolección de credenciales dirigidas al personal de aerolíneas y aeropuertos.
Sobre el autor
