DarkBlinders colpisce Israele e Kurdistan: phishing mirato buca cloud governativi e infetta un VIP

Tra agosto e ottobre 2026 è stata osservata una campagna di cyber spionaggio che ha preso di mira obiettivi in Israele e nella Regione del Kurdistan iracheno, con impatti che includono la compromissione di un individuo di alto profilo e l’accesso non autorizzato a un ambiente cloud governativo. L’attività viene attribuita a DarkBlinders, un gruppo legato all’Iran attivo almeno dal 2024 e associato in passato a operazioni contro infrastrutture dell’aviazione e telecomunicazioni in area Medio Oriente.

Il modello operativo di DarkBlinders ruota attorno alla social engineering e al phishing mirato. Le vittime vengono contattate con pretesti credibili e invitate a scaricare strumenti apparentemente legittimi o ad aprire applicazioni trojanizzate. In diversi casi gli aggressori utilizzano siti controllati che ospitano download diretti, rendendo più semplice l’infezione senza dipendere da allegati email tradizionali. Questa strategia aumenta le probabilità di successo e riduce i segnali di allarme per l’utente.

La catena di infezione descritta include tecniche note nel panorama malware moderno come il DLL sideloading, utilizzato per avviare un loader e poi eseguire una backdoor con funzionalità di controllo remoto ed esfiltrazione dati. Un elemento chiave è l’abuso di strumenti per sviluppatori e di componenti del runtime, con meccanismi di iniezione che possono aiutare a eludere i controlli di sicurezza e il monitoraggio. In scenari recenti, l’attacco è stato mascherato da valutazione tecnica per candidati, distribuendo un archivio di progetto che si presenta come coding assessment ma contiene il payload malevolo.

Sul fronte infrastrutturale, la campagna combina furto credenziali e consegna malware tramite domini somiglianti a portali governativi, webmail e servizi cloud. L’uso di pagine di login imitate consente di raccogliere username e password, mentre altri domini vengono impiegati per offrire file eseguibili camuffati da applicazioni di produttività o comunicazione. Tra le esche più efficaci spicca un falso software di videoconferenza, progettato come decoy per indurre l’installazione e attivare il loader e la backdoor.

Questa evoluzione dimostra una sperimentazione continua nei metodi di delivery, passando da finti processi di recruiting a software contraffatto, con un’attenzione costante verso target ad alto valore e ambienti cloud.