DarkBlinders, ligado ao Irã, rouba ao menos 1 GB do governo curdo
Grupo de espionagem ligado ao Irã, chamado DarkBlinders, comprometeu um indivíduo de alto perfil do setor de segurança em Israel e a nuvem governamental do Curdistão iraquiano, de onde roubou ao menos 1 GB de dados, segundo a Dream Research Labs. A campanha, observada entre agosto e outubro de 2026, usou páginas falsas de login do governo, o aplicativo malicioso de videoconferência StarkMeet e os malwares ShelbyLoader e SHELBYC2, com comando e controle pelo GitHub. Pesquisadores avaliam ligação com APT34 como menos certa; exija autenticação forte em contas de alto perfil e revise tráfego para o GitHub.
O que aconteceu
Grupo de espionagem ligado ao Irã, chamado DarkBlinders, invadiu a nuvem governamental do Curdistão iraquiano e roubou ao menos 1 GB de dados, segundo a Dream Research Labs. A campanha, entre agosto e outubro de 2026, também comprometeu um indivíduo de alto perfil do setor de segurança em Israel.
Por que importa
Credenciais roubadas por páginas falsas de login e por um aplicativo de reunião malicioso deram aos invasores acesso remoto e a dados de um governo. O mesmo método serve contra qualquer empresa com contas de alto perfil e serviços na nuvem, e os dados roubados podem alimentar vigilância e operações futuras.
O que fazer
Exija autenticação multifator forte nas contas de alto perfil e verifique aplicativos de videoconferência instalados. Monitore o tráfego de saída para o GitHub, usado como canal de comando e controle, e revise sessões e acessos suspeitos na nuvem.
Para o time técnico
- Afetados
- Vítimas do grupo DarkBlinders: um indivíduo israelense de alto perfil e um ambiente de nuvem governamental no Curdistão · Vítimas relatadas: um indivíduo israelense de alto perfil do setor de segurança e um ambiente de nuvem governamental no Curdistão iraquiano.
- Exploração
- Campanha observada entre agosto e outubro de 2026 e detalhada pela Dream Research Labs; ao menos 1 GB de dados roubados da nuvem governamental.
- Correção
- Sem correção de produto; mitigação operacional: autenticação forte em contas de alto perfil, revisão de aplicativos instalados e monitoramento de tráfego para o GitHub.
- Vetor
- Phishing de credenciais com páginas falsas de login do governo e aplicativo malicioso de videoconferência (StarkMeet) para roubar credenciais e implantar malware; GitHub abusado para comando e controle, roubo de dados e acesso remoto.
- Mais detalhes
- Dream Research Labs avalia o grupo como ligado a um ator iraniano; ligação mais ampla com APT34 considerada menos certa. O backdoor usa o GitHub como infraestrutura de comando e controle.
Indicadores (IoCs)
- ShelbyLoader
- SHELBYC2
Linha do tempo
Novo relato detalha a campanha: ao menos 1 GB de dados roubados da nuvem governamental do Curdistão iraquiano, com ataques observados entre agosto e outubro, páginas falsas de login do governo, app malicioso de videoconferência StarkMeet e implantação dos malwares ShelbyLoader e SHELBYC2, além do us
Relatório da Dream Research Labs detalha a campanha de espionagem do grupo alinhado ao Irã, que ocorreu entre agosto e outubro de 2026.
Incidente aberto.
Fontes 3 fontes
- @TheHackersNews @TheHackersNews
- DarkBlinders Compromises Israeli Target and Iraqi Kurdish Government Cloud Environment The Hacker News
- @DarkWebInformer @DarkWebInformer
