Un grupo de hacking vinculado a Irán llamado DarkBlinders ha irrumpido en un sistema en la nube gubernamental en la Región del Kurdistán de Irak. El grupo robó al menos 1 GB de datos de allí.

También comprometieron a una persona de alto perfil en Israel que trabaja en el sector de la seguridad. La campaña se llevó a cabo de agosto a octubre de 2026 y seguía activa cuando se informó al respecto.

El mismo actor está detrás de Blinder Tunnel, una campaña que utilizó un señuelo de prueba de codificación de los Aeropuertos de Dubái para atacar la infraestructura iraquí. Unit 42 documentó ese trabajo anterior. Esta nueva ola demuestra que el grupo sigue activo y continúa cambiando sus herramientas.

Investigadores de Dream notaron el malware mientras rastreaban la nueva actividad del grupo. Lo analizaron mediante ingeniería inversa y obtuvieron acceso de solo lectura a los servidores de comando del atacante. Eso les permitió tener una visión poco común de lo que los operadores estaban haciendo a las víctimas.

DarkBlinders vinculados a Irán irrumpen en sistemas en la nube gubernamentales

El grupo comenzó con páginas de inicio de sesión falsas y descargas fraudulentas. Algunas copiaban páginas de Outlook Web App y se hacían pasar por el Ministerio de Asuntos Exteriores de Kuwait y la Secretaría General del Consejo de Cooperación del Golfo.

Estas páginas solo recopilaban nombres de usuario y contraseñas. Un inicio de sesión robado puede abrir el correo electrónico, los contactos, los archivos compartidos y los servicios en la nube vinculados sin activar una alerta de malware. Esto es similar a la campaña de "password spray" vinculada a Irán que afectó a los inquilinos de Microsoft 365 a principios de este año.

Otros señuelos copiaban enlaces para compartir de Google Drive en dominios temáticos sobre el Gobierno Regional del Kurdistán. La página decía que un archivo ZIP no podía previsualizarse e indicaba a la víctima que lo descargara.

Una aplicación falsa de videollamadas llamada StarkMeet fue la segunda ruta de entrega. Mostraba un asistente de configuración normal y una pantalla de reunión que parecía funcionar, pero el botón de "Unirse" siempre fallaba.

Mientras el señuelo se ejecutaba, se instalaban archivos ocultos en una carpeta separada. Estos seguían ejecutándose incluso si el usuario eliminaba StarkMeet. El malware enviaba detalles sobre la computadora infectada a un repositorio de GitHub, y el operador los revisaba primero.

Solo las víctimas seleccionadas recibían la clave necesaria para desbloquear el backdoor de segunda etapa. Aproximadamente diez sistemas se reportaron, pero solo dos víctimas aparecieron en el canal de asignación de tareas.

El backdoor ejecutaba comandos de PowerShell dentro de su propio proceso, por lo que nunca inició powershell.exe. También podía cargar y descargar archivos.

Los comandos recuperados mostraron el robo de credenciales y la eliminación de al menos 1 GB de datos de la nube del gobierno iraquí. Si GitHub cerraba la cuenta, el malware podía leer un comentario oculto en el repositorio público de Microsoft vscode para encontrar nuevas configuraciones.

Quién está detrás de DarkBlinders y cómo responder

Dream vincula a DarkBlinders con UNC5795 y Dust Specter con una confianza media-alta. Afirma, con confianza media, que este grupo y UNC5187 podrían ser subgrupos relacionados de APT34.

La evidencia incluye servidores compartidos, malware coincidente y un enfoque similar en objetivos del gobierno iraquí. Las señales de un vínculo iraní son reales pero limitadas.

El primer host en reportarse fue una máquina virtual con una distribución de teclado persa, y uno de los dominios señuelo utilizó servidores de nombres de ParsVDS.

Dream dice que ninguno de estos hechos prueba la identidad del operador por sí solo. Otros grupos vinculados a Irán trabajan de manera similar. Un ejemplo es la campaña de binarios firmados de Seedworm, que se ocultaba detrás de software confiable.

Tú, como defensor, deberías vigilar las herramientas de reuniones falsas y el tráfico de GitHub que no coincida con el trabajo normal de un desarrollador. También deberías buscar PowerShell ejecutándose en lugares inusuales y páginas de inicio de sesión que imiten instituciones regionales.

Debido a que GitHub y Cloudflare son plataformas compartidas, bloquea solo las cuentas y rutas exactas enumeradas a continuación, no los servicios completos. El acceso silencioso como este suele encajar en un patrón más amplio de hackers iraníes construyendo acceso antes de utilizarlo.