DarkBlinders управляла бэкдором через репозитории GitHub
С августа по октябрь 2026 года группировка DarkBlinders вела кампанию кибершпионажа против Израиля и Курдистанского региона Ирака, а также, вероятно, государственных и дипломатических структур стран Персидского залива. Около десяти систем зарегистрировались в репозитории myLic, но активация через myCode состоялась только на двух: в облачной среде правительства Региона Курдистан и на устройстве высокопоставленного представителя израильского сектора безопасности. Подтверждённая активность включала кражу учётных данных и эксфильтрацию не менее 1 ГБ данных. Деятельность оценивают как связанную с UNC5795 и Dust Specter; возможны связи с UNC5187 и более широкой экосистемой APT34.
Фишинговые страницы и приманка StarkMeet
Фишинговая инфраструктура имитировала Министерство иностранных дел Кувейта, Генеральный секретариат Совета сотрудничества арабских государств Персидского залива, государственные веб-почтовые сервисы, Google Drive и структуры регионального правительства Курдистана. Поддельные страницы Outlook Web App собирали имена пользователей и пароли через конечные точки, управляемые злоумышленниками, в том числе /owa/auth.owa. Поддельные интерфейсы облачных хранилищ служили для передачи файлов, контролируемых злоумышленниками. Страницы для кражи учётных данных не эксплуатировали уязвимости и не доставляли ВПО напрямую.
Отдельная цепочка доставки использовала приложение для видеоконференций StarkMeet в качестве приманки. Неподписанный пакет Inno Setup устанавливал видимый клиент для конференций в каталог %LOCALAPPDATA%\StarkMeet, а вредоносные компоненты помещал в %LOCALAPPDATA%\Microsoft\RuntimeBroker. Интерфейс приманки выглядел функциональным, однако функция Join всегда завершалась ошибкой. У приложения не было значимых возможностей сетевой активности или доставки полезной нагрузки.
Загрузка и управление вредоносными компонентами
Вредоносная ветвь использовала подписанный .NET-хост и загрузчик на основе AppDomainManager. Файл RuntimeBroker.dll обеспечивал закрепление, собирал метаданные хоста и регистрировал заражённые системы в репозитории GitHub myLic. В загрузчик встроили персональный токен доступа GitHub; для управления использовался аккаунт PeakyBlindersTeam. Отчёты о хостах содержали сведения о машине, пользователе, домене, сервере входа, часовом поясе, языке, раскладках клавиатуры, местном времени, статусе закрепления и наличии средств антианализа. Операторы просматривали записи перед избирательной активацией целей.
Историческое содержимое репозитория предоставляло ключевой материал, с помощью которого RuntimeBroker.dll расшифровывал и загружал RuntimeBrokerApi.dll непосредственно в оперативную память. Это снижало вероятность обнаружения при анализе содержимого диска. Бэкдор второй стадии использовал другой встроенный токен GitHub и репозиторий myCode для получения задач и обмена данными. В качестве резервного ретранслятора был доступен Cloudflare Worker.
В бэкдор также встроили файл PsProxy.dll, который выполнял команды PowerShell через встроенную в процесс .NET среду выполнения (runspace), не запуская powershell.exe. ВПО поддерживала ротацию учётных данных через публичные комментарии в репозитории Microsoft/vscode на GitHub. Это позволяло операторам заменять учётные записи, репозитории и токены в случае нарушения доступа.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
