Sejumlah peneliti keamanan siber memaparkan rincian operasi spionase siber yang menargetkan Israel serta Wilayah Kurdistan di Irak oleh kelompok terafiliasi pemerintah Iran antara Agustus hingga Oktober 2026.
Berdasarkan laporan Dream Research Labs, kampanye tersebut mengakibatkan kompromi terhadap seorang tokoh profil tinggi di Israel, bersamaan dengan pembobolan lingkungan komputasi awan resmi instansi pemerintah Wilayah Kurdistan.
Aktivitas intrusi ini dikaitkan dengan DarkBlinders, entitas bermotif politik yang diyakini terhubung dengan Iran, diperkirakan aktif setidaknya sejak September 2024, serta dihubungkan dengan serangan ke infrastruktur penerbangan sipil dan jaringan telekomunikasi di Uni Emirat Arab dan Irak. Terkait karakteristik digitalnya, kelompok ini tidak menunjukkan tumpang tindih teknis dengan sindikat peretasan lain yang pernah diidentifikasi sebelumnya.
Pola serangan DarkBlinders mengandalkan spear-phishing sebagai jalur masuk utama demi memanipulasi target agar mengeksekusi utilitas bertrojan atau mengakses tautan portal palsu penyedia unduhan perangkat lunak berbahaya tersebut.
Rantai infeksi terdahulu yang didokumentasikan Elastic Security Labs dan Group-IB mengungkapkan penggelaran SHELBYLOADER (HOTAIR) melalui manipulasi DLL sideloading untuk meluncurkan pintu belakang SHELBYC2 (AEROSTAT), implan yang menyalahgunakan repositori GitHub demi fungsi server komando dan kontrol (C2), penyelundupan data, serta pengendalian jarak jauh. Elastic melacak aktivitas ini dengan kode REF8685.
Pada permulaan bulan lalu, tim intelijen Palo Alto Networks membongkar operasi spionase Blinder Tunnel, di mana aktor ancaman berkode CL-STA-1178 kedapatan menyamar sebagai jajaran departemen TI pengelola Bandara Dubai demi menyebarkan materi uji kompetensi pemrograman bertrojan kepada individu berharga tinggi.
Modus rekrutmen kerja fiktif tersebut terdeteksi pada akhir Maret 2026, kendati bukti forensik memperlihatkan penyerang mulai mempersiapkan dan menguji infrastruktur sejak November 2025.
Kampanye tersebut mendekati target dengan menawarkan peluang karier demi membujuk mereka mengeksekusi aplikasi mandiri yang meniru portal rekrutmen dan memerintahkan korban melengkapi kuesioner formal.
Pengiriman jawaban kuesioner tidak mengakibatkan pencurian data langsung ataupun menghasilkan respons balik dari domain luar. Proses pengisian formulir murni berfungsi sebagai tipuan pengalih demi membangun rasa percaya sebelum peretas mengirimkan muatan malware tahap berikutnya berupa arsip proyek Microsoft Visual Studio yang disamarkan sebagai modul penilaian coding.
Mekanisme serangan memanfaatkan kombinasi tiga teknik demi menancapkan akses persistensi jangka panjang: berkas proyek C# (.csproj) digunakan untuk memicu injeksi AppDomainManager, diikuti DLL sideloading demi mengalirkan varian SHELBYLOADER (ShelbyLoader V2), yang nantinya mengeksekusi SHELBYC2. Bersamaan dengan penyebaran SHELBYC2, peretas turut memasang utilitas terowongan jaringan bernama Blackwood.
"Para aktor jahat di balik operasi ini sengaja menerapkan taktik rekayasa sosial yang dirancang khusus untuk memalsukan identitas sebagai perekrut resmi Bandara Dubai, menyalahgunakan materi uji koding Visual Studio bertrojan demi menyasar seorang pencari kerja berprofil tinggi yang berdomisili di Irak," demikian pernyataan resmi dari Unit 42.
"Kampanye spionase ini ditandai secara gamblang oleh penyalahgunaan perangkat pengembangan sistem bawaan serta manipulasi teknik DLL sideloading. Selain itu, para pelaku intrusi juga memanfaatkan pembajakan AppDomainManager untuk secara efektif menghindari deteksi dari sistem pemantau keamanan siber terpadu seperti halnya ETW [Event Tracing for Windows]."
Laporan analisis terbaru Dream membuktikan aktor ancaman ini masih bergantung kuat pada rekayasa sosial, memadukan phishing pencurian kredensial akun dengan pengiriman berkas malware secara bersamaan. Operasi ini melibatkan pendaftaran domain tipuan peniru portal instansi pemerintah, layanan webmail resmi, dan infrastruktur cloud komersial guna meraup data login atau menyajikan unduhan berbahaya.
Kelompok peretas turut mendaftarkan domain kamuflase untuk menyamarkan aplikasi konferensi video palsu bernama StarkMeet (seperti stark-meet[.]com, stark-meet[.]online, dan stark-meet[.]website). Mengunduh dan menjalankan aplikasi fiktif tersebut otomatis memicu eksekusi diam-diam ShelbyLoader V2 serta pintu belakang SHELBYC2.
Rangkaian temuan mutakhir menjadi indikasi aktor ancaman aktif bereksperimen dengan metode distribusi beragam, mulai dari kedok uji koding hingga peredaran perangkat lunak komunikasi palsu.
Dream memaparkan aksi DarkBlinders tergabung dalam kluster operasional serupa kelompok UNC5795 serta Dust Specter, mengacu pada kesamaan infrastruktur server dan malware. Dust Specter, yang dibeberkan periset Zscaler pada Maret 2026, merujuk pada operasi intelijen Iran yang menargetkan pejabat kementerian Irak melalui pemalsuan identitas Kementerian Luar Negeri.
"Jejak sidik jari server historis, pola kemiripan target korban, serta serangkaian riset atribusi pendukung menuntun kami pada sebuah penilaian bertingkat keyakinan sedang bahwa UNC5795 dan UNC5187 kemungkinan besar mewakili sub-kluster yang saling terafiliasi di bawah naungan kelompok besar APT34," tambah keterangan tersebut.
"Fokus kedua kelompok yang saling bersinggungan terhadap institusi-institusi pemerintahan Irak semakin memperkuat konteks kaitan teknis ini dan menandakan adanya kesamaan misi pengumpulan data intelijen. Dipadukan dengan keterkaitan mereka terhadap APT34, temuan-temuan ini mendukung penilaian berkeyakinan sedang bahwa kedua kluster tersebut saling terhubung secara operasional dan berpotensi bernaung di bawah entitas payung yang sama."
Prince of Persia Menempatkan Server Komando di Wilayah AS untuk Pertama Kalinya dalam Satu Dekade
Pengungkapan kasus ini bertepatan dengan kabar kelompok peretas Prince of Persia (Infy), entitas spionase siber yang disponsori rezim Iran, yang terpantau mengoperasikan salah satu server kendali C2 miliknya ("68.65.122[.]203") langsung dari daratan Amerika Serikat pada tahun ini. Infrastruktur server tersebut kemungkinan besar mulai dibangun pada Juli 2026.
Komponen jaringan penyerang merupakan server kendali tahap kedua yang terhubung dengan malware Tornado, varian evolusi dari Tonnerre yang dikirimkan dengan mengeksploitasi celah one-day vulnerability serta memanfaatkan protokol HTTPS dan API Telegram untuk jalur C2. Kemunculan server C2 baru pada akhir Mei 2026 terjadi setelah kelompok tersebut terdiam selama tiga bulan tanpa aktivitas, fase hening yang dinilai sebagai "masa dorman terlama sepanjang hampir dua dekade perjalanan operasi sang aktor ancaman."
"Kami telah mengamati secara saksama pola pencurian data yang dilakukan oleh kelompok Prince of Persia selama enam bulan terakhir," ungkap Tomer Bar, associate vice president bagian riset keamanan siber di Semperis. "Jumlah korbannya sejauh ini terbilang relatif sedikit, yang mana kondisi ini bisa mengindikasikan adanya serangan yang amat sangat terarah atau justru memperlihatkan kendala teknis mereka saat mencoba menginfeksi calon korban baru."
"Aktor peretas Iran tersebut memutuskan untuk menempatkan server komando barunya di tanah Amerika Serikat — tepat pada momen dimulainya babak baru eskalasi ketegangan antara pemerintah Iran dan Amerika Serikat. Lokasi ini sejatinya merupakan tempat yang paling tidak kami duga akan dijadikan persembunyian oleh aktor ancaman tersebut."
