Onderzoekers melden nieuwe details over DarkBlinders cloud-aanvallen tegen doelen in Israël en de Koerdische regio van Irak. Tussen augustus en oktober 2026 zou de door Iran gelieerde dreigingsactor meerdere systemen hebben gecompromitteerd, waaronder een cloudomgeving van een overheidsorganisatie in de regio.
De campagne draait niet alleen om malware, maar vooral om overtuigende sociale manipulatie: slachtoffers worden gelokt om trojan-achtige tools te openen of om op aanvallers gecontroleerde downloads te klikken. Daarmee belandt de aanvaller in een positie om later persistentie op te bouwen en gegevens te exfiltreren.
Wat weten we over de DarkBlinders-aanval
De activiteit is toegeschreven aan DarkBlinders, een groep die al sinds ten minste september 2024 actief zou zijn. Eerder werd de actor gekoppeld aan aanvallen op onder meer luchtvaartinfrastructuur en telecommunicatie in de Verenigde Arabische Emiraten en Irak. In deze campagne is volgens de rapporten geen technische overlap zichtbaar met andere bekende groepen.
Onderdeel van het verhaal is dat aanvallen leken te starten met spear-phishing. Daarbij lokken de aanvallers ontvangers met inhoud die er legitiem uitziet, waarna malware of een directe download wordt aangeboden. In één eerder gedocumenteerd aanvalspad resulteerde dat onder andere in de inzet van een loader en uiteindelijk een backdoor die via GitHub kon communiceren met de aanvaller.
Van lokkertje naar backdoor: de aanvalsketen
Meerdere laboratoria en security teams beschrijven een keten waarin aanvallers gebruikmaken van methoden die aansluiten bij Windows- en ontwikkelomgevingen. In eerdere varianten zou SHELBYLOADER (ook bekend als HOTAIR) worden gestart via DLL sideloading. Die eerste stap leidt vervolgens tot uitvoering van SHELBYC2 (ook bekend als AEROSTAT).
Deze backdoor gebruikt volgens de rapporten GitHub voor command-and-control (C2), voor het exfiltreren van data en voor remote control. Elastic onderzoekt in dat verband een threat cluster onder de naam REF8685.
In een later beschreven campagne, aangeduid als Blinder Tunnel (door Palo Alto Networks gelabeld als CL-STA-1178), ziet men opnieuw een combinatie van misleiding en misbruik van ontwikkelachtige bestanden. De actor zou zich hierbij hebben voorgedaan als de IT-afdeling van Dubai Airports om malware te verspreiden via “coding challenges”.
Social engineering als hoofdrol: “recruitment” en domeinvervalsing
Een opvallend element is dat de slachtoffers werden benaderd met een vals rekruteringsverhaal. De dreigingsactor zou specifieke personen benaderen met lucratieve jobaanbiedingen. Het doel: de victim laten starten met een zelfstandige applicatie die een carrièreportaal nabootst.
Het invullen van vragenlijsten leidt niet tot directe exfiltratie naar een externe domeinlocatie. In plaats daarvan dient het als decoy om geloofwaardigheid op te bouwen. Pas daarna komt de echte payload: een pakket dat eruitziet als een Microsoft Visual Studio projectarchief, vermomd als een soort code-assessment.
Naast deze techniek wordt ook melding gemaakt van lookalike domeinen voor webmail- en cloudservices, om inloggegevens te verzamelen of om “onschuldige” bestandsdownloads te presenteren. Voorbeelden van domeinen die in de rapportage terugkomen:
- gcc-sg.cloud/owa/auth/logon.aspx
- mfakuwait.online/owa/auth/logon.aspx
- moelcloud.online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O
Daarnaast zou de actor ook deceptieve merkdomeinen gebruiken voor een nepprogramma voor videoconferencing genaamd “StarkMeet”. Het installeren en starten van die app zou leiden tot uitvoering van ShelbyLoader V2 en daarna SHELBYC2.
Persistente toegang via developer tooling
De aanvalsketen gebruikt meerdere technieken om langdurige toegang te behouden. Volgens de beschrijving worden drie methodes ingezet die samen bijdragen aan persistentie en uitvoering.
1) AppDomainManager-injectie via een .csproj
Een kwaadaardig C# projectbestand met extensie .csproj zou worden ingezet om AppDomainManager injectie te triggeren. Dit sluit aan op de vermomming als ontwikkel- of codeopdracht.
2) DLL sideloading
Vervolgens wordt DLL sideloading gebruikt om een bijgewerkte versie van de loader te leveren. Daarmee komt men opnieuw bij de uitvoering van de backdoorcomponent.
3) Start van SHELBYC2 en tunneling
Uiteindelijk start SHELBYC2, waarna ook een tunneling-tool wordt ingezet: Blackwood. Met zo’n tunnel kan de aanvaller doorgaans netwerkverkeer doorzetten op manieren die de zichtbaarheid voor defenders beperken.
Verder wordt genoemd dat aanvallers gebruikmaakten van misbruik van ingebouwde developer-tools om beveiligingsmonitoring te omzeilen, waaronder mechanismen zoals ETW (Event Tracing for Windows).
Waarom dit voor cloudomgevingen extra relevant is
Het patroon achter DarkBlinders cloud-aanvallen is breder dan één malwarefamilie. De kern is het combineren van:
- Social engineering die de gebruiker of IT-medewerker richting uitvoering duwt;
- Vermomming als legitiem ontwikkel- of carrièremateriaal;
- Technische uitvoering via loader/backdoorketens, inclusief DLL sideloading;
- C2 en exfiltratie die gebruikmaakt van vertrouwde service-ecosystemen (zoals GitHub) en tunneling.
Daarom is het niet voldoende om alleen naar “klassieke” IOC’s te kijken. Organisaties moeten ook nadenken over hoe developers, IT-owners en recruitment- of HR-processen misbruikt kunnen worden om initial access te creëren.
Als je meer wilt lezen over hoe social engineering en het opzetten van echte operationele ketens kunnen samenkomen, is dit gerelateerde artikel mogelijk interessant: ARTEX en AI-aanvallen: schaal en aanpak uitgelegd.
Praktische aandachtspunten voor defenders
Op basis van de beschreven aanpak kun je je verdediging aanscherpen met maatregelen die aansluiten op zowel techniek als gedrag.
Maak verdacht gedrag rond “developer artifacts” zichtbaar
Let extra op ongebruikelijke projectbestanden, vooral als ze worden aangeleverd als “coding challenge” of als bijlage vanuit een onverwachte bron. Ook wanneer het bestand als Visual Studio projectarchief wordt gepresenteerd, kan het doel uitvoering in de omgeving zijn.
Wees streng op domeinvervalsing bij webmail en cloudservices
De rapportage noemt lookalike domeinen voor OWA en cloudservices. Zorg dat je verificatieprocessen en logging helpen om af te wijken van normale logonflows en om afwijkende URL’s of registratiedata te signaleren.
Verhoog de weerstand tegen persistente loaders
Omdat de keten zich richt op loader/backdoor componenten en tussentijdse stappen (zoals DLL sideloading), is het belangrijk om detecties te hebben rond het opstarten van verdachte DLL’s en ongewone procesketens.
Wil je daarnaast breder kijken naar “security remediatie” als proces, dan sluit dit artikel aan: Veilige security-remediatie: Observe, Prove, Act.
Meer context: ook andere infrastructuurduiding
Naast de DarkBlinders-campagne wordt in dezelfde melding ook ingegaan op een andere dreigingsgroep (Prince of Persia) die volgens observaties een C2-server in de Verenigde Staten gebruikte. Dat deel staat los van DarkBlinders als zodanig, maar laat zien dat aanvallers infrastructuurstrategieën aanpassen aan omstandigheden.
Voor jou als organisatie is vooral de les relevant dat “locatie” en “timing” van infrastructuur niet betekenen dat je veilig bent. Aanvallers wisselen servers en deliveryroutes af wanneer dat handig uitkomt.
Conclusie
DarkBlinders cloud-aanvallen laten zien hoe effectief een combinatie kan zijn van sociaal misbruik en technische uitvoering via ontwikkelgerichte artefacten. De keten die naar loaders, backdoors, C2 en exfiltratie leidt, steunt sterk op spear-phishing, vermomming en domeinvervalsing.
Door je controles te richten op zowel gebruikersgedrag (social engineering) als op de technische sporen van ontwikkel-toolmisbruik, vergroot je de kans om de aanval eerder te stoppen. Zo voorkom je dat een “legitieme” coding challenge of vacature-aanbieding verandert in een echte compromittatie van je cloudomgeving.
Bron: https://thehackernews.com/2026/11/darkblinders-compromises-israeli-target.html
