DarkBlinders İsrail'de bir kişiyi ve Irak Kürdistanı'nda bir devlet bulutunu ele geçirdi

Güvenlik şirketi Dream, 8 Ekim’de yayımladığı ve The Hacker News’in 2 Kasım’da haberleştirdiği raporda, DarkBlinders adlı grubun İsrail’i ve Irak’ın Kürdistan Bölgesi’ni hedef alan yeni bir siber casusluk kampanyasını anlattı. Dream’e göre DarkBlinders, Palo Alto Networks Unit 42’nin daha önce belgelediği Blinder Tunnel kampanyasının arkasındaki grup. Bu kampanyayı Vaka Dosyaları bölümünde ayrıntılı olarak anlatmıştık.

Dream’e göre kampanya Ağustos ile Ekim 2026 arasında gözlendi ve rapor yayımlandığında hâlâ sürüyordu. Grup İsrail’de güvenlik sektörüyle ilişkili tanınmış bir kişiyi ve Kürdistan Bölgesi’nde bir devlet kurumunun bulut ortamını ele geçirdi. Dream, bu ortamdan kimlik bilgilerinin çalındığını ve en az 1 GB veri çıkarıldığını doğruladığını belirtiyor.

Giriş yolları

Dream’e göre grup iki yol kullandı:

• Kimlik bilgisi toplama: Grup, Kuveyt Dışişleri Bakanlığı’nın ve Körfez İşbirliği Konseyi Genel Sekreterliği’nin Outlook Web App giriş sayfalarını taklit eden sayfalar hazırladı. Bu sayfalara girilen kullanıcı adı ve parolalar saldırganın sunucusuna gidiyordu. Dream’e göre bu, Körfez’deki devlet ve diplomasi kurumlarının da hedef alındığını gösteriyor.
• Zararlı yazılım dağıtımı: Grup, Google Drive paylaşım bağlantılarını taklit eden sayfalarda indirme sunuyordu. Bunların bir kısmı Kürdistan Bölgesel Yönetimi’ni ve Elektrik Bakanlığı’nı çağrıştıran alan adlarındaydı. Grup ayrıca StarkMeet adlı sahte bir görüntülü toplantı uygulaması hazırladı. Uygulama çalışıyor gibi görünse de toplantıya katılma düğmesi her zaman hata veriyor, arka planda ise zararlı bileşenler kuruluyordu.

Dream, StarkMeet’in hedeflere hangi mesajla gönderildiğini bulamadığını belirtiyor.

Zararlı yazılım ve GitHub komuta kanalı

Dream’e göre StarkMeet’in kurduğu bileşenler, imzalı ve meşru bir dosya olan vshost.exe’yi RuntimeBroker.exe adıyla kullanarak RuntimeBroker.dll adlı yükleyiciyi çalıştırıyor. Yükleyici kayıt defterindeki Run anahtarıyla kalıcılık sağlıyor ve cihazın adı, kullanıcısı, dili, klavye düzenleri ve analiz ortamı izleri gibi bilgileri PeakyBlindersTeam adlı GitHub hesabındaki myLic deposuna yazıyor.

Dream’e göre operatör bu bilgilere bakıp hangi cihazın ikinci aşamaya geçeceğine karar veriyor. Seçilen cihazlara bir anahtar gönderiliyor ve şifreli olarak duran RuntimeBrokerApi.dll arka kapısı yalnızca bellekte açılıp çalıştırılıyor. Arka kapı, myCode adlı ikinci bir depodan yaklaşık her 63 saniyede bir komut alıyor, sonuçları da aynı depoya yazıyor. PowerShell komutlarını powershell.exe başlatmadan kendi süreci içinde çalıştırıyor, dosya indirip yükleyebiliyor.

Dream’e göre GitHub erişim anahtarı iptal edilirse operatör, Microsoft’un herkese açık vscode deposundaki bir sorun kaydına gizli bir yorum bırakarak bütün cihazlara yeni hesap, depo ve anahtar bilgilerini iletebiliyor.

Dream, zararlı yazılımdaki anahtarlarla depolara salt okunur erişim sağladığını, hiçbir içeriği değiştirmediğini ve cihazlara komut göndermediğini belirtiyor. Dream’e göre myLic’te yaklaşık 10 cihazın kaydı vardı, ancak yalnızca 2 kurban ikinci aşamaya geçirilmişti. Dream bunu operatörün hedefleri bilerek seçtiğinin işareti olarak görüyor.

Atıf

Dream’e göre bu kampanya, Elastic Security Labs, Unit 42 ve Group-IB’nin belgelediği dört önceki dalgayla bağlantılı. Dream, faaliyetin UNC5795 ve Dust Specter olarak izlenen faaliyetle aynı operasyon kümesine ait olduğunu orta ile yüksek güvenle değerlendiriyor. Şirket, bu kümenin ve UNC5187’nin daha geniş APT34 grubu içinde birbiriyle ilişkili alt kümeler olabileceğini de orta güvenle değerlendiriyor.

Dream’e göre İran bağlantısını destekleyen ipuçları da var. myLic’teki ilk kayıt Farsça klavye düzeni olan bir sanal makineden geliyordu ve Dream bunun operatörün test makinesi olabileceğini düşünüyor. starkmeet[.]com alan adı da ParsVDS’in ad sunucularını kullanıyordu ve Dream bunu İran bağlantısı için sınırlı bir destek olarak görüyor. Dream, bu iki ipucunun tek başına atıf için yeterli olmadığını, ancak altyapı ve zararlı yazılım bağlantılarıyla yapılan değerlendirmeyi desteklediğini belirtiyor.