LONDON (IT BOLTWISE) – Forscher beschreiben eine von Iran-nahen Akteuren gesteuerte Spionagekampagne, die zwischen August und Oktober 2026 Ziele in Israel und der kurdischen Region im Irak kompromittiert haben soll. Im Zentrum stehen Spear-Phishing und betrügerische Entwickler-Aufgaben, die wie harmlose Job- oder Coding-Challenges wirken. Laut den Berichten wird der Zugang technisch über DLL-Sideloading und AppDomainManager-Mechanismen aufgebaut und anschließend eine Backdoor über GitHub als Kommando- und Kontrollkanal gesteuert. Zusätzlich taucht unter dem Namen „Blinder Tunnel“ eine Tarnung als IT-Team von Dubai Airports auf.
Eine neue Serie von Berichten bringt eine komplexe Cyber-Operation ans Licht, die sowohl die politische als auch die IT-Seite eines Konfliktumfelds adressiert. Zwischen August und Oktober 2026 soll ein Iran-nexus-gestützter Bedrohungsakteur unter dem Namen DarkBlinders Ziele in Israel und im Kurdistan Region of Iraq angegriffen haben. Als Ergebnis nennen die Meldungen eine Kompromittierung einer als hochrangig beschriebenen Einzelperson in Israel sowie weitere Zugriffe in einem Regierungs-Cloud-Umfeld in der kurdischen Region. Besonders aufschlussreich ist dabei die Kombination aus starkem Social Engineering und einer technisch ausgebauten Persistenzkette, die nicht nur auf „klassische“ Phishing-Mail-Klicks setzt, sondern Empfänger auch über scheinbar legale Entwickler-Workflows in die Irre führt.
Der Einstieg erfolgt den Beschreibungen zufolge typischerweise über Spear-Phishing: Empfänger sollen trojanisierte Utility-Programme starten oder auf mit Tool-Downloads verknüpfte Webseiten klicken, die die Angreifer kontrollieren. Aus früher dokumentierten Angriffsketten von Elastic Security Labs und Group-IB geht hervor, dass der Prozess oft über SHELBYLOADER (auch HOTAIR) läuft. Dieser Loader wird über DLL-Sideloading gestartet, um anschließend eine Backdoor namens SHELBYC2 (auch AEROSTAT) auszuführen. Auffällig ist der Einsatz von GitHub als Kommando- und Kontrollkanal (C2): Die Backdoor soll darüber Befehle empfangen, Daten exfiltrieren und Remote-Kontrolle ermöglichen. Für die Nachverfolgung führt Elastic die Bedrohungsaktivität unter dem Cluster-Label REF8685, was zeigt, dass die Operation technisch in etablierte Erkennungslogiken eingebettet ist.
Ende März 2026 soll die Betrugsmasche mit einer ersten Entdeckung begonnen haben; die Belege deuten laut den Berichten jedoch auf ein früheres Staging von Infrastruktur bis mindestens November 2025 hin. Diese Phase ist für Sicherheitsteams relevant, weil sie weniger „Sofortangriff“ als vielmehr sorgfältige Vorbereitung nahelegt: Unter dem Namen Blinder Tunnel wird zudem beobachtet, dass der Akteur als IT-Abteilung von Dubai Airports auftritt. Dabei sollen „Coding Challenges“ verteilt werden, die mit Malware präpariert sind. Der Kern des Social Designs: Statt sofortige Exfiltration zu triggern, präsentiert ein selbstständiges Anwendungspaket einen vermeintlichen Karriere-Portal-Eindruck und fordert Empfänger auf, ein Formular beziehungsweise eine Fragebogen-Iteration zu bearbeiten. Die Abgabe des Fragebogens löst demnach keine Datenübertragung an externe Domains aus; sie dient als Decoy, um Glaubwürdigkeit zu erzeugen, bevor dann die eigentliche Nutzlast folgt. Technisch wird die nächste Stufe als Microsoft-Visual-Studio-Projektarchiv (ein .zip eines Visual Studio Project) getarnt, also als etwas, das für Entwickler in der Regel „normal“ wirkt.
Die Persistenz- und Ausführungslogik wird in den Berichten besonders detailliert beschrieben: Drei Techniken sollen zusammenwirken. Zuerst nutzt eine bösartige C#-Projektdatei mit der Endung .csproj eine AppDomainManager-Injection, um die Umgebung beim Laden gezielt zu manipulieren. Danach folgt erneut DLL-Sideloading, wodurch eine aktualisierte Version des Loader-Moduls (SHELBYLOADER V2) nachgereicht und anschließend die Backdoor SHELBYC2 gestartet werden soll. Zusätzlich wird über SHELBYC2 ein Tunneling-Tool namens Blackwood bereitgestellt, was typischerweise die spätere Kommunikation und Umgehung von Überwachungsmechanismen erleichtert. Im gleichen Kontext wird in der Berichterstattung erwähnt, dass AppDomainManager-Hijacking dabei helfen kann, Sicherheitsmonitore wie ETW (Event Tracing for Windows) zu umgehen. Die Strategie zeigt damit ein klares Muster: Social Engineering liefert den „legitimen“ Ausführungsvorwand, während die technische Kette nach dem Start den klassischen Schutzschichten den Zugriff entzieht.
Neu an den aktuellen Erkenntnissen ist außerdem, dass der Akteur nicht bei einer einzigen Tarnidentität stehen bleibt. Dream hebt hervor, dass weiterhin Credential-Phishing und Malware-Delivery kombiniert werden, wobei Domains genutzt werden sollen, die wie Regierungs-, Webmail- oder Cloud-Dienste aussehen. Genannt werden unter anderem Logon- und Drive-ähnliche Pfade wie „gcc-sg[.]cloud/owa/auth/logon.aspx“ sowie weitere nachgeahmte Webmail- und Cloud-Endpunkte. Zusätzlich sollen Decoy-Marken-Domains für eine falsche Videokonferenz-App namens StarkMeet eingerichtet worden sein (z. B. „stark-meet[.]com“ und Varianten). Das Installieren und Starten dieser Anwendung soll dann die Kette aus SHELBYLOADER V2 und SHELBYC2 auslösen. In Summe wirkt das wie ein Werkzeugkasten, der verschiedene Auslieferungswege testet – von Coding-Assessment-Tarnung bis hin zu gefälschter Software – und damit die Wahrscheinlichkeit erhöht, dass mindestens ein Pfad bei einem Zielumfeld durchdringt.
Die Einordnung geht dabei über die reine Toolliste hinaus: Die Aktivitäten von DarkBlinders werden einem größeren operativen Cluster zugeordnet, der auch UNC5795 und Dust Specter umfasst. Dust Specter sei demnach von Zscaler im März 2026 als mutmaßliche Iran-nexus-Operation beschrieben worden, die sich gegen Regierungsangehörige in der Region richtet und dabei als Ministry of Foreign Affairs getarnt habe. In der Quelle wird zudem formuliert, dass historische Server-Fingerprints, überlappende Zielprofile und weitere Zuordnungsrecherchen zu einer Einschätzung mit mittlerem Vertrauen führen, wonach UNC5795 und UNC5187 verwandte Sub-Cluster innerhalb der größeren APT34-Gruppe darstellen könnten. Für Organisationen heißt das: So ähnlich die konkreten Payloads aussehen mögen, die eigentliche Frage lautet eher, ob sich auch die Infrastrukturmuster und Entscheidungslogiken wiederholen. Genau hier liefert die zweite Meldung zusätzlichen Kontext.
Parallel dazu wird ein weiterer Strang beschrieben: Eine Gruppe, die als Prince of Persia (auch Infy) bekannt ist, habe in diesem Jahr erstmals seit rund einem Jahrzehnt einen C2-Server in den USA betrieben. Laut den Angaben trägt der Server eine IP wie 68.65.122[.]203, und die Infrastruktur sei wahrscheinlich im Juli 2026 gebaut worden. Die Quelle verbindet das mit einem zweiten Stufe-C2-Mechanismus, der mit Tornado bzw. einer Tonnerre-Variante assoziiert wird und über HTTPS sowie die Telegram API als C2-Brücke funktionieren soll. Interessant ist auch die zeitliche Einordnung: Neue C2-Server sollen Ende Mai 2026 nach drei Monaten Inaktivität erschienen sein. Dabei wird in der Berichterstattung von „dem längsten Downtime-Zeitraum in nahezu zwei Jahrzehnten“ gesprochen. Semperis nennt in diesem Zusammenhang, man habe die Exfiltration über sechs Monate beobachtet; die Opferzahl bleibe niedrig, was entweder auf sehr zielgerichtete Angriffe oder auf Schwierigkeiten beim Infektionspfad hindeuten könne. Tomer Bar erläutert den Ansatz der US-Hosting-Entscheidung dahingehend, dass die Location „die letzte Stelle“ gewesen sei, an der man den Akteur erwartet hätte.
Für Sicherheitsverantwortliche und IT-Leitungen ergibt sich daraus ein zweigeteilter Handlungsfokus. Erstens müssen Erkennung und Prävention stärker in Richtung „Developer-Flow“ gedacht werden: Wenn .csproj-Manipulationen, DLL-Sideloading und AppDomainManager-Injection über vermeintliche Coding-Challenges oder Job-Portal-Decoys gestartet werden, greifen klassische Regeln gegen reine Makro- oder PDF-Phishingmuster zu kurz. Zweitens wird die Relevanz der Infrastruktur sichtbar: GitHub als C2, lookalike Cloud/Webmail-Domains und Telegram als Kommunikationskanal bedeuten, dass Telemetrie über Identity- und Netzwerkebene zusammenlaufen muss, statt sich auf einzelne Logquellen zu verlassen. Die Berichte deuten außerdem auf eine anhaltende Lernfähigkeit hin: DarkBlinders und der angrenzende Cluster passen Auslieferungstechniken an, um Abwehrmaßnahmen zu umgehen. Genau deshalb sollten Teams Angriffsflächen wie „Karriere-Formulare“, Download-Links und selbstständige „Assessment“-Pakete organisatorisch und technisch wie echte Software-Installationen behandeln.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DarkBlinders und „Blinder Tunnel“: Neue Social-Engineering-Ketten gegen Israel und Kurdistan" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DarkBlinders und „Blinder Tunnel“: Neue Social-Engineering-Ketten gegen Israel und Kurdistan" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DarkBlinders und „Blinder Tunnel“: Neue Social-Engineering-Ketten gegen Israel und Kurdistan« bei Google Deutschland suchen, bei Bing oder Google News!