Technische Überschneidungen mit anderen bekannten Angreifergruppen weist DarkBlinders nicht auf. Als Einstiegsweg nutzt die Gruppe Spear-Phishing: Empfänger sollen dazu gebracht werden, trojanisierte Hilfsprogramme zu öffnen oder von Angreifern kontrollierte Websites zu besuchen, auf denen vergleichbare Werkzeuge direkt zum Download bereitstehen.
Frühere Angriffsketten, die Elastic Security Labs und Group-IB dokumentiert haben, mündeten in den Einsatz von SHELBYLOADER (auch HOTAIR genannt). Dieser wird per DLL-Sideloading gestartet und führt letztlich die Hintertür SHELBYC2 (auch AEROSTAT) aus, die GitHub für Befehle und Kontrolle, Datenabfluss und Fernsteuerung verwendet. Elastic führt das Aktivitätscluster unter der Bezeichnung REF8685.
Anfang des vergangenen Monats beschrieb Palo Alto Networks eine Kampagne namens Blinder Tunnel, bei der die dort als CL-STA-1178 geführte Gruppe sich als IT-Abteilung von Dubai Airports ausgab und hochwertigen Zielpersonen mit Schadcode versehene Programmieraufgaben zuspielte. Die vorgetäuschte Rekrutierungsmasche wurde erstmals Ende März 2026 entdeckt; Hinweise deuten darauf hin, dass die Angreifer ihre Infrastruktur bereits im November 2025 aufgebaut und getestet hatten.
Die Social-Engineering-Kampagne sprach gezielt ausgewählte Personen mit lukrativen Stellenangeboten an und brachte sie dazu, eine in sich geschlossene Anwendung auszuführen, die ein Karriereportal nachahmte und zum Ausfüllen eines Fragebogens aufforderte. Das Absenden des Fragebogens führte weder zu einem Datenabfluss noch zu einer Reaktion einer externen Domain – es diente als harmloser Köder, um Glaubwürdigkeit aufzubauen, bevor die nächste Stufe folgte: die Schadsoftware in Form eines als Programmiertest aufgemachten Projektarchivs für Microsoft Visual Studio.
Für dauerhaften Zugang kombiniert die Angriffskette drei Techniken: Eine bösartige C#-Projektdatei (".csproj") löst eine AppDomainManager-Injektion aus, anschließend wird per DLL-Sideloading eine aktualisierte Fassung von SHELBYLOADER (ShelbyLoader V2) ausgeliefert, die wiederum SHELBYC2 startet. Über SHELBYC2 wird zudem ein Tunneling-Werkzeug namens Blackwood nachgeladen.
„Die Angreifer hinter der Aktivität nutzten maßgeschneiderte Social-Engineering-Techniken, um sich als Personalvermittler von Dubai Airports auszugeben, und setzten eine trojanisierte Visual-Studio-Programmieraufgabe ein, um einen hochkarätigen Stellensuchenden im Irak anzugreifen", erklärte Unit 42. „Die Kampagne ist durch den Missbrauch eingebauter Entwicklerwerkzeuge und durch DLL-Sideloading gekennzeichnet. Die Angreifer nutzten außerdem AppDomainManager-Hijacking, um Sicherheitsüberwachung wie ETW (Event Tracing for Windows) zu umgehen."
Die neuen Erkenntnisse von Dream zeigen, dass die Gruppe weiterhin auf Social Engineering setzt und dabei Zugangsdaten-Phishing und Schadsoftware-Auslieferung verbindet. Dazu dienen Domains, die Behörden, Webmail-Angebote und Cloud-Dienste imitieren, um Zugangsdaten abzugreifen oder von Angreifern kontrollierte Dateidownloads anzubieten. Zu den genannten Adressen zählen:
- gcc-sg[.]cloud/owa/auth/logon.aspx
- mfakuwait[.]online/owa/auth/logon.aspx
- moelcloud[.]online/drive/file/d/1JpH3ySmJpvX6TyGnF7C-S8qYiaoxyC5O
Daneben richtete die Gruppe Köder-Markendomains für eine angebliche Videokonferenzanwendung namens StarkMeet ein: stark-meet[.]com, stark-meet[.]online und stark-meet[.]website. Installation und Start der Anwendung führen zur Ausführung von ShelbyLoader V2 und SHELBYC2. Die Spannbreite von Programmiertests bis hin zu gefälschter Software zeigt, dass die Angreifer verschiedene Wege der Schadsoftware-Auslieferung erproben.
Dream ordnet die DarkBlinders-Aktivität demselben operativen Cluster zu wie UNC5795 und Dust Specter und verweist auf Überschneidungen bei Infrastruktur und Schadsoftware. Dust Specter, von Zscaler im März 2026 dokumentiert, bezeichnet eine mutmaßlich dem Iran zuzurechnende Operation gegen Regierungsvertreter im Irak, bei der das irakische Außenministerium imitiert wurde.
„Historische Server-Fingerabdrücke, überlappende Opferprofile und ergänzende Attributionsforschung führen uns zu der Einschätzung mit mittlerer Zuversicht, dass UNC5795 und UNC5187 verwandte Untercluster innerhalb der größeren APT34-Gruppe darstellen könnten", heißt es weiter. „Ihr gemeinsamer Fokus auf irakische Regierungsstellen ordnet diese technische Verbindung ein und deutet auf ein geteiltes Interesse an nachrichtendienstlicher Beschaffung hin. Zusammen mit den jeweiligen APT34-Bezügen stützen diese Erkenntnisse die Einschätzung mit mittlerer Zuversicht, dass die beiden Cluster operativ verbunden sind und zur selben übergeordneten Gruppe gehören könnten."
Parallel dazu wurde beobachtet, dass die weniger bekannte, vom iranischen Staat gesponserte Gruppe Prince of Persia (auch Infy) in diesem Jahr einen ihrer C2-Server („68.65.122[.]203") aus den USA betreibt. Der Server wurde wahrscheinlich im Juli 2026 aufgesetzt. Es handelt sich um einen C2-Server der zweiten Stufe im Zusammenhang mit Tornado, einer Tonnerre-Variante, die über One-Day-Schwachstellen in Software eingeschleust wird und sowohl HTTPS als auch die Telegram-API für die Befehlsübermittlung nutzt. Dem Auftauchen neuer C2-Server Ende Mai 2026 waren drei Monate Inaktivität vorausgegangen – die „längste Ausfallzeit in fast zwei Jahrzehnten der Aktivität dieses Akteurs".
„Wir beobachten die Exfiltrationsaktivität von Prince of Persia seit sechs Monaten", sagte Tomer Bar, Associate Vice President für Sicherheitsforschung bei Semperis. „Die Zahl der Opfer bleibt gering, was entweder auf gezielte Angriffe oder auf Schwierigkeiten bei der Infektion neuer Opfer hindeuten könnte." Der iranische Akteur habe seinen neuen C2-Server zeitgleich mit dem Beginn der jüngsten Feindseligkeiten zwischen Iran und den Vereinigten Staaten auf US-Boden untergebracht: „Das ist der letzte Ort, an dem wir den Akteur vermutet hätten."