Iran-georiënteerde groep DarkBlinders voerde tussen augustus en oktober 2026 cyberaanvallen uit op Israëlische doelwitten en de Koerdische overheid in Irak.
Tussen augustus en oktober 2026 voerde de door Iran gesteunde dreigingsactor DarkBlinders een cyberspionagecampagne uit gericht op Israël en de Koerdische regio in Irak. Onderzoek van Dream Research Labs toont aan dat hierbij een hooggeplaatst individu in Israël werd gecompromitteerd, evenals een overheidscloudomgeving in Koerdistan.
DarkBlinders is sinds september 2024 actief en staat bekend om aanvallen op luchtvaartinfrastructuur en telecommunicatie in de VAE en Irak. De groep gebruikt spear-phishing om slachtoffers te verleiden kwaadaardige tools te downloaden, waaronder trojanized utilities en websites met schadelijke bestanden. Eerdere aanvalsketens, gedocumenteerd door onder meer Group-IB en Elastic Security Labs, laten zien dat de malware SHELBYLOADER (ook bekend als HOTAIR) via DLL sideloading een backdoor genaamd SHELBYC2 (AEROSTAT) activeert, die GitHub gebruikt voor command-and-control en datadiefstal.
In maart 2026 werd een campagne genaamd Blinder Tunnel ontdekt, waarbij DarkBlinders zich voordeed als IT-afdeling van Dubai Airports om malware te verspreiden via zogenaamd coderingstests voor hooggeplaatste doelwitten. Deze social engineering-aanpak gebruikte een nep sollicitatieportaal en een onschuldig ogende vragenlijst om vertrouwen te winnen, waarna een kwaadaardig Microsoft Visual Studio-project werd geïnstalleerd. Dit project activeert via AppDomainManager-injectie en DLL sideloading een geüpdatete versie van SHELBYLOADER en de backdoor SHELBYC2, samen met een tunneling tool genaamd Blackwood. Volgens Unit 42 maakt de groep misbruik van ingebouwde ontwikkelaarstools en omzeilt zo beveiligingsmonitoring zoals ETW.
De recente bevindingen van Dream Research Labs bevestigen dat DarkBlinders blijft vertrouwen op social engineering, gecombineerd met credential phishing en malwarelevering. Hierbij worden domeinen nagebootst van overheidsinstanties, webmail en cloudservices om inloggegevens te verzamelen of om kwaadaardige downloads aan te bieden. Voorbeelden van dergelijke domeinen zijn gcc-sg[.]cloud, mfakuwait[.]online en moelcloud[.]online. Ook zijn nep-merkdomeinen opgezet voor een valse videoconferentie-applicatie genaamd StarkMe.
