DarkBlinders tấn công Israel và chính phủ Iraq
"The Iran-aligned threat actor DarkBlinders conducted a cyber espionage campaign targeting entities in Israel and the Iraqi Kurdistan Region between August and October 2026. Attacks involved spear-phishing with trojanized utilities and coding challenges, leading to the deployment of malware like SHELBYLOADER and SHELBYC2, utilizing techniques such as DLL sideloading and AppDomainManager injection. The group also leverages lookalike domains and fake applications for credential theft and malware delivery."
Chiến dịch của DarkBlinders cho thấy sự gia tăng của các cuộc tấn công gián điệp mạng tinh vi, sử dụng phần mềm độc hại tiên tiến và kỹ thuật social engineering phức tạp.
Các cuộc tấn công nhắm vào chính phủ và các tổ chức quan trọng có thể gây ra mất mát dữ liệu, gián đoạn hoạt động và thiệt hại về uy tín cho doanh nghiệp.
DarkBlinders, một nhóm tấn công liên kết Iran, đã thực hiện chiến dịch gián điệp mạng nhắm vào các tổ chức ở Israel và Khu vực Kurdistan của Iraq từ tháng 8 đến tháng 10 năm 2026. Dream Research Labs báo cáo vụ việc này, cho thấy một cá nhân cấp cao ở Israel và môi trường cloud của chính phủ Iraq bị xâm nhập.
DarkBlinders hoạt động từ tháng 9 năm 2024, trước đó nhắm mục tiêu vào cơ sở hạ tầng hàng không và viễn thông ở UAE và Iraq. Nhóm này sử dụng spear-phishing với các tiện ích bị nhiễm độc và thử thách lập trình để triển khai phần mềm độc hại như SHELBYLOADER và SHELBYC2. Chúng dùng kỹ thuật DLL sideloading và AppDomainManager injection để thực hiện các cuộc tấn công.
Các chuỗi tấn công trước đây, được ghi nhận bởi Elastic Security Labs và Group-IB, dẫn đến việc triển khai SHELBYLOADER (còn gọi là HOTAIR). SHELBYLOADER sử dụng GitHub cho điều khiển và chỉ huy (C2), đánh cắp dữ liệu và điều khiển từ xa. Palo Alto Networks cũng phát hiện chiến dịch "Blinder Tunnel", trong đó nhóm này giả mạo bộ phận IT của Sân bay Dubai để phân phối các thử thách lập trình nhiễm mã độc cho các mục tiêu quan trọng.
Thủ đoạn lừa đảo này liên quan đến việc cung cấp các lời mời làm việc hấp dẫn, yêu cầu nạn nhân thực hiện ứng dụng tự chứa, mô phỏng cổng việc làm và hoàn thành bảng câu hỏi. Việc gửi bảng câu hỏi không gây rò rỉ dữ liệu, mà chỉ để tạo dựng lòng tin trước khi triển khai giai đoạn tải trọng chứa mã độc, được ngụy trang dưới dạng kho lưu trữ dự án Microsoft Visual Studio. Nhóm này sử dụng kỹ thuật AppDomainManager injection và DLL sideloading để triển khai SHELBYLOADER V2, sau đó kích hoạt SHELBYC2. Họ cũng sử dụng Blackwood, một tiện ích tunneling.
DarkBlinders tiếp tục sử dụng kỹ thuật social engineering, kết hợp credential phishing và phân phối phần mềm độc hại. Họ sử dụng các tên miền giả mạo của chính phủ, dịch vụ web và cloud để thu thập thông tin đăng nhập hoặc cung cấp các tệp tải xuống do kẻ tấn công kiểm soát. Một số tên miền đáng chú ý bao gồm gcc-sg[.]cloud/owa/auth/logon.aspx, mfakuwait[.]online/owa/auth/logon.aspx và moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O. Nhóm này cũng tạo các tên miền giả mạo cho ứng dụng hội nghị truyền hình StarkMeet (stark-meet[.]com, stark-meet[.]online và stark-meet[.]website). Việc cài đặt và khởi chạy ứng dụng này sẽ thực thi ShelbyLoader V2 và SHELBYC2.
Câu hỏi thường gặp
DarkBlinders là ai?
DarkBlinders là một nhóm tấn công mạng liên kết với Iran, hoạt động từ ít nhất tháng 9 năm 2024. Nhóm này nhắm mục tiêu vào các tổ chức ở Israel, Iraq và UAE, sử dụng các kỹ thuật gián điệp mạng tinh vi.
SHELBYLOADER và SHELBYC2 là gì?
SHELBYLOADER (còn gọi là HOTAIR) là một loại phần mềm độc hại được DarkBlinders sử dụng để triển khai SHELBYC2 (còn gọi là AEROSTAT), một backdoor cho phép kiểm soát từ xa và đánh cắp dữ liệu.
DarkBlinders sử dụng kỹ thuật gì để tấn công?
DarkBlinders sử dụng nhiều kỹ thuật, bao gồm spear-phishing, DLL sideloading, AppDomainManager injection, và social engineering. Họ cũng tạo các tên miền giả mạo và ứng dụng giả mạo để lừa nạn nhân.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc DarkBlinders sử dụng các kỹ thuật lừa đảo tinh vi và phần mềm độc hại tiên tiến cho thấy mức độ nguy hiểm cao. Các doanh nghiệp Việt Nam, đặc biệt là các tổ chức chính phủ và các công ty hoạt động trong các lĩnh vực quan trọng như hàng không và viễn thông, cần tăng cường các biện pháp bảo mật. Điều đáng chú ý là nhóm này đang thử nghiệm các phương pháp phân phối phần mềm độc hại khác nhau, từ thử thách lập trình đến phần mềm giả mạo, đòi hỏi sự cảnh giác cao độ.