Ирански хакери използват фалшив тест по програмиране от летището в Дубай, за да атакават иракска критична инфраструктура

Свързани с Иран атакуващи са използвали фалшив процес за набиране на персонал от името на Dubai Airports, за да насочат атака срещу критична инфраструктура в Ирак чрез подправен тест по програмиране.

Кампанията, наречена Blinder Tunnel, превърна рутинна задача за разработчици в тих, потенциално дългосрочен път за отдалечен достъп, персистентност и мрежово тунелиране в средата на жертвата.

Операцията е била подготвена още през ноември 2025 г. и активирана през март 2026 г. срещу вероятен иракски софтуерен инженер.

Жертвите първо са получавали убедителен офлайн портал за кариери, а след това персонализиран Visual Studio проект, представен като домашна задача за оценка при кандидатстване за разработка на софтуер. Изследователите от Unit 42 идентифицираха активността като CL-STA-1178 и оценяват с висока степен на увереност, че тя съответства на заплаха, свързана с Иран.

Групата се е представяла за ИТ персонал на Dubai Airports, въпреки че изследователите заявяват, че не са открили доказателства за компрометиране, пробив или уязвимост в системите на Dubai Airports.

Случаят показва защо средите за разработка се превръщат в ценни цели. Един проект може да изглежда безвреден за някой, който очаква тест по програмиране, докато доверени инструменти за компилиране изпълняват предоставени от атакуващия инструкции, преди жертвата да е написала или компилирала дори един ред код.

От Palo Alto Networks заявиха в доклад, споделен с Cyber Security News (CSN), че кампанията е използвала облачни услуги, за да маскира своя трафик.

Ирански киберпрестъпници използват фалшив тест по програмиране от Dubai Airports

В края на март атакуващите са представили приложение Inno Setup, наречено Dubai Airport Careers, като първа стъпка от процеса по подбор.

То е хоствало локален имитиращ кариерен сайт, изисквало е идентификационни данни, предоставени от предполагаемите специалисти по подбор на персонал, и е показвало формуляр за ЧР с 10 въпроса. Самият портал не е крадял данни и не е стартирал зловреден софтуер – нарочен избор, имащ за цел да изгради доверие преди следващия етап.

Последващият архив, DubaiAirport_Carrers_IT_Test.zip, е съдържал файл Readme.md с инструкции, адресирани към мишената. В него се е искало кандидатът да отвори проект на C# Flight Management System и да коригира проста грешка в цикъл.

Тази адаптирана примамка отразява същия модел на ирански фалшиви операции за набиране на персонал, които използват възможности за работа за събиране на информация или получаване на достъп.

Отварянето на проекта е било достатъчно за стартиране на атаката. Модифицираният за атака FlightManager.csproj е злоупотребил с нормалния процес за фонова оценка на Visual Studio, създавайки подвеждаща папка RuntimeBrokers в локалните данни на приложението (local application data) и стартирайки RuntimeBroker.exe, преди разработчикът да компилира проекта.

След това атакуващите са променили RuntimeBroker.exe.config, за да прихванат AppDomainManager, принуждавайки техния код да се изпълни преди легитимното хост приложение.

Конфигурацията е деактивирала Event Tracing for Windows, намалявайки телеметрията, която защитниците използват за откриване на съмнителна .NET активност. Подобни тактики за прихващане на AppDomainManager наскоро се появиха и в други интрузивни кампании, свързани с Иран.

Последната стъпка от първоначалния достъп е използвала зареждане на странични DLL библиотеки (DLL sideloading). Преименуван легитимен хостинг процес на Visual Studio е заредил RuntimeBroker.dll – зареждащия модул ShelbyLoader V2.

Екипите по сигурност трябва да разследват подписани бинарни файлове, които зареждат непознати DLL библиотеки извън нормалните системни директории, и да реагират при необичайна msbuild.exe активност, неочаквани проекти за разработчици и промени в конфигурационните .NET файлове.

GitHub C2 и инструмент за тунелиране

ShelbyLoader V2 е осигурил персистентност чрез стойност в системния регистър Run, профилирал е хоста и е осъществил контакт с инфраструктурата на атакуващия чрез API на GitHub.

Той е качил дигитален отпечатък на машината, извлякъл е задачи и е имал възможност да премине към криптирани данни, скрити в коментари към проблеми (issue comments) в GitHub, ако първичният маршрут спре да работи. GitHub е премахнал инфраструктурата, идентифицирана в разследването.

Зареждащият модул е декриптирал задната вратичка (backdoor) ShelbyC2 V2 и е използвал PsProxy.dll за изпълнение на команди през средата на PowerShell, без да стартира PowerShell.exe.

Той също така е подготвил Blackwood – базиран в паметта обвиващ софтуер (wrapper) за Chisel, който може да създава криптирани тунели и обратен SOCKS proxy сървър, позволявайки на операторите да се придвижват по-дълбоко в компрометираната мрежа.

Този подход напомня за начина, по който Chisel поддържа скрити тунели в други кампании за проникване. Изследователите са свързали клъстера с Иран чрез инфраструктурата, моделите на насочване на атаките и оперативна грешка в метаданните на аудио файл, рефериращи към MusicDel[.]ir.

Те също така са открили свързана инфраструктура за събиране на идентификационни данни, насочена срещу израелска организация през май и юни 2026 г. Защитниците трябва да проверяват файлове, свързани с работа, чрез независими канали за контакт, да изолират съмнителни системи, да нулират изложени на риск идентификационни данни и да преглеждат активността в GitHub API, която не съответства на нормалната работа по разработка.

Организациите трябва също да използват многофакторно удостоверяване, защитено от фишинг, и да проверяват целевите URL адреси, преди да въвеждат идентификационни данни.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или генериране на хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашия SIEM.

Спирайте заплахите преди въздействието им с 21 минути по-бързо средно време за отстраняване (MTTR). Интегрирайте изолираната среда (Sandbox) на ANYRUN във вашия SOC