DarkBlinders APT黑客利用StarkMeet恶意软件和基于GitHub的后门攻击以色列和伊拉克库尔德斯坦地区

原创

ZM
ZM

暗镜

2026年11月6日 06:00
北京

去阅读

DarkBlinders 攻击了一位与安全部门有关联的以色列知名人士以及伊拉克库尔德斯坦的政府云环境，攻击手段包括凭证网络钓鱼、虚假会议应用程序和基于 GitHub 的后门。

Dream Security 观察到 2026 年 8 月至 10 月期间发生的网络间谍活动，并报告称截至发稿时该活动仍在进行中。已确认的活动包括凭证盗窃和从政府环境中窃取至少 1 GB 的数据。此次行动延续了 UNIT42此前记录在案的布林德隧道行动。

攻击者利用政府网络邮件、云盘和会议服务冒充他人来建立访问权限，然后审查受感染的系统，之后有选择地部署第二阶段植入程序。这种选择性将初始感染与被选定用于实际利用的系统区分开来。

它的界面提供了本地摄像头、麦克风和屏幕共享预览，但加入会议总是返回固定的连接错误。研究人员在诱饵应用程序本身中没有发现任何联网或有效载荷部署功能。相反，安装程序将单独的恶意组件放置在以下位置%LOCALAPPDATA%\\Microsoft\\RuntimeBroker。

大约有十台主机注册，但研究人员在第二阶段任务库中只识别出两台受害主机。选定的系统收到了特定于主机的激活材料，这些材料解锁了RuntimeBrokerApi.dll……

加载器从许可证字符串的 SHA-256 哈希值中导出 AES-256-CBC 密钥，并使用密钥的前 16 个字节作为初始化向量。解密后的程序集直接在内存中运行，并通过通信myCode，大约每 63 秒轮询一次命令。嵌入式PsProxy.dllPowerShell 通过System.Management.Automation运行空间执行，而无需启动powershell.exe，从而降低了依赖于该子进程的检测的可见性。

其他命令支持文件上传、下载和 ZIP 解压缩。每小时一次的恢复机制会搜索公开的 Microsoft/vscode 问题，查找隐藏在注释中的加密配置。有效的指令可以替换存储库所有权、存储库名称和令牌，从而在主凭据失效时提供恢复路径。

Dream 从 GitHub 提交历史记录中恢复了历史许可证材料，解密了有效载荷，并通过严格的只读访问权限检查了操作员任务。Dream 评估认为 DarkBlinders 与 UNC5795 和 Dust Specter 重叠的置信度为中等到高，同时认为 DarkBlinders 与 APT34 中的 UNC5187 可能存在关系的置信度为中等。

此外，Unit 42 的 Blinder Tunnel 研究记录了虚假的迪拜机场招聘诱饵和 GitHub API 滥用，进一步证实了将间谍通信伪装成针对中东目标企业网络的常规云流量的更广泛模式。

IOC