Sejumlah peneliti keamanan siber membeberkan rincian operasi spionase digital yang membidik sasaran penting di Israel serta kawasan Kurdistan Irak. Aksi pengintaian siber berskala besar ini diketahui berlangsung sepanjang kurun waktu antara Agustus hingga Oktober 2026 dan diduga kuat terafiliasi secara langsung dengan kepentingan negara Iran.
Berdasarkan publikasi investigasi resmi dari Dream Research Labs, gelombang peretasan terkoordinasi tersebut berhasil mengorbankan dan mengeksploitasi profil individu berkedudukan tinggi di Israel. Tidak hanya itu, serangan ini juga berhasil menembus infrastruktur komputasi awan atau cloud environment yang dioperasikan lembaga pemerintahan di Wilayah Kurdistan.
Para analis intelijen mengaitkan rangkaian manuver tersebut dengan sindikat peretas yang dikenal sebagai DarkBlinders. Grup peretas yang terhubung erat dengan Iran ini diyakini telah aktif melancarkan aksi setidaknya mulai September 2024. Jejak mereka sebelumnya sempat teridentifikasi menargetkan sektor penting seperti fasilitas penerbangan komersial dan jaringan telekomunikasi strategis di kawasan Uni Emirat Arab serta Irak. Secara karakteristik, kelompok tersebut mulanya tidak menunjukkan kesamaan teknis langsung bersama komplotan peretas mapan lain.
Dalam menjalankan modusnya, kawanan penyusup ini secara konsisten mengandalkan serangan pengelabuan terarah atau spear-phishing sebagai pintu masuk awal. Langkah tersebut dipakai guna memancing para penerima surel untuk membuka perkakas yang telah dimuati trojan, ataupun membimbing target mengklik tautan portal mencurigakan yang secara khusus menyajikan berkas serupa sebagai program unduhan instan langsung.
Catatan rantai penyerangan masa lalu yang sebelumnya diungkap oleh analis dari Elastic Security Labs serta Group-IB mendeteksi pemasangan komponen malware SHELBYLOADER atau yang dikenal pula lewat sandi HOTAIR. Komponen tersebut dieksekusi mengandalkan teknik DLL sideloading demi mengaktifkan pintu belakang berjuluk SHELBYC2 alias AEROSTAT, yang mengeksploitasi platform GitHub untuk keperluan pusat kendali dan komando (C2), pencurian informasi internal, hingga operasi kendali jarak jauh. Divisi Elastic memantau pergerakan kelompok tersebut di bawah kode penamaan spesifik REF8685.
Selanjutnya pada awal bulan lalu, pihak Palo Alto Networks mengungkap operasi bertajuk Blinder Tunnel yang dijalankan oleh kelompok bersangkutan, yang mereka labeli dengan pengenal CL-STA-1178. Dalam temuan tersebut, para penyerang terlihat berpura-pura menyamar menjadi staf departemen teknologi informasi pengelola Dubai Airports demi menyebarkan tugas tes penulisan kode pemrograman yang telah disisipi malware kepada korban incaran berharga tinggi.
Siasat rekrutmen tenaga kerja palsu ini pertama kali terendus pada akhir Maret 2026, kendati rekaman jejak forensik memperlihatkan bukti bahwa para pelaku telah mempersiapkan sekaligus menguji seluruh fondasi perangkat serangan mereka jauh hari sebelumnya sejak November 2025.
Strategi rekayasa sosial tersebut diyakini mendekati para kandidat terpilih secara persuasif dengan iming-iming tawaran karier bergaji tinggi. Upaya itu dirancang untuk memperdaya para calon korban agar menjalankan aplikasi mandiri yang sengaja dibangun menyerupai situs portal lowongan kerja dan menginstruksikan mereka merampungkan formulir pengisian kuesioner asesmen daring.
Proses pengiriman jawaban kuesioner itu sejatinya tidak langsung membocorkan rekaman rahasia ke luar ataupun memicu interaksi langsung menuju alamat domain asing. Program itu sengaja dipasang semata-mata sebagai umpan penenang serta pembangun rasa percaya sebelum mereka meluncurkan muatan jahat tahap selanjutnya, yang dikemas rapi memakai arsip proyek Microsoft Visual Studio dan disamarkan layaknya tes penilaian keterampilan coding pemrogram profesional.
Tahapan serangan ini memadukan tiga prosedur teknis mutakhir demi mengamankan akses sistem yang berkelanjutan secara terus-menerus: Dokumen proyek C# berformat ekstensi “.csproj” berbahaya dipakai untuk mengeksekusi injeksi AppDomainManager, yang kemudian segera disusul manuver DLL sideloading guna memuat varian terkini SHELBYLOADER atau ShelbyLoader V2, yang kemudian langsung meluncurkan SHELBYC2. Bersamaan dengan penyebaran SHELBYC2 tersebut, mereka turut menginjeksi sebuah utilitas penerowongan data rahasia bernama Blackwood.
"Para pelaku di balik aksi kejahatan ini memanfaatkan teknik manipulasi psikologis yang disesuaikan secara cermat dengan menyamar sebagai perekrut resmi Dubai Airports, menggunakan simulasi tantangan pemrograman Visual Studio yang disusupi trojan guna mengincar pelamar berkualifikasi tinggi yang berdomisili di Irak," ungkap tim Unit 42.
"Operasi ini sangat lekat dengan penyalahgunaan fitur perkakas pengembang bawaan sistem serta pemanfaatan trik DLL sideloading. Pihak peretas turut mengeksploitasi pembajakan AppDomainManager untuk mematikan dan mengakali mekanisme pengawasan pertahanan internal layaknya ETW [Event Tracing for Windows]," tambah mereka.
Laporan pembaharuan terkini dari Dream Research Labs membuktikan bahwa gerombolan penyerang masih mengandalkan rekayasa sosial, seraya memadukan perburuan kredensial akun dan pengiriman malware secara simultan. Cara ini melibatkan eksploitasi domain tiruan yang meniru instansi pemerintahan, antarmuka webmail, hingga penyedia layanan komputasi awan demi meraup data login atau menampilkan jalur unduhan berbahaya. Daftar domain tiruan tersebut telah diidentifikasi secara menyeluruh.
Kelompok pengganggu ini juga tepergok mendirikan rentetan situs tipuan memakai identitas aplikasi konferensi video palsu bernama StarkMeet (stark-meet[.]com, stark-meet[.]online, serta stark-meet[.]website). Tindakan mengunduh dan mengoperasikan program tersebut akan langsung berujung pada pengeksekusian ShelbyLoader V2 beserta implan SHELBYC2.
Kemunculan dinamika ini menjadi sinyal nyata bahwa sang aktor ancaman sedang giat menguji aneka variasi cara penyusupan materi perusak, mulai dari kedok ujian kemampuan teknis pemrogram hingga penyebaran perangkat lunak komunikasi rekayasa.
Dream menegaskan bahwa sepak terjang DarkBlinders berada pada satu klaster operasional yang sama dengan kelompok UNC5795 serta Dust Specter, merujuk pada kesamaan infrastruktur peretasan dan perangkat lunak jahat. Dust Specter sendiri, yang sempat dibongkar Zscaler pada Maret 2026, merupakan operasi terduga intelijen Iran yang menargetkan pejabat negara di Irak lewat taktik menyamar sebagai perwakilan resmi Kementerian Luar Negeri setempat.
"Pola sidik jari server terdahulu, kesamaan profil para target sasaran, serta riset atribusi penguat lainnya membawa kami pada kesimpulan berkeyakinan sedang bahwa UNC5795 dan UNC5187 kemungkinan besar mewakili sub-klaster terkait di dalam naungan kelompok besar payung APT34," papar laporan tersebut.
"Fokus berulang mereka pada instansi pemerintah Irak semakin memperjelas tautan teknis ini dan menandakan adanya kesamaan misi penghimpunan informasi rahasia. Digabungkan dengan keterkaitan masing-masing pada entitas APT34, seluruh bukti ini mengukuhkan penilaian berkeyakinan sedang bahwa kedua klaster tersebut terhubung secara operasional serta bernaung di bawah entitas induk yang sama."
Prince of Persia Operasikan Pusat Komando C2 di Wilayah AS untuk Kali Pertama dalam Satu Dekade
Pengungkapan fakta ini mencuat seiring terdeteksinya kelompok peretas Prince of Persia (alias Infy), regu siber bentukan rezim Teheran yang relatif jarang terekspos, yang ketahuan menempatkan salah satu peladen C2 aktif miliknya ("68.65.122[.]203") langsung dari daratan Amerika Serikat tahun ini. Server tersebut diperkirakan tuntas dibangun pada Juli 2026.
Sarana tersebut merupakan infrastruktur pengendali tingkat kedua yang terhubung dengan Tornado, yakni varian mutasi dari Tonnerre yang disuntikkan memanfaatkan kelemahan piranti lunak berstatus one-day vulnerability, serta memanfaatkan jalur enkripsi protokol HTTPS dan integrasi Telegram API untuk operasional C2. Kehadiran server pengendali baru pada akhir Mei 2026 terjadi menyusul masa vakum selama tiga bulan, yang dinilai sebagai "fase tanpa aktivitas terpanjang sepanjang hampir dua puluh tahun kiprah kelompok peretas ini."
"Kami telah mengamati pergerakan eksfiltrasi data Prince of Persia selama enam bulan belakangan," beber Tomer Bar, selaku associate vice president of security research di firma Semperis. "Jumlah korbannya terpantau rendah, yang kemungkinan mengindikasikan serangan dengan target yang sangat spesifik atau justru kendala mereka dalam menjangkau korban-korban baru."
"Aktor ancaman Iran ini mengambil langkah berani untuk mengoperasikan server pengendali C2 baru mereka langsung di tanah Amerika Serikat — bertepatan persis dengan eskalasi ketegangan hubungan terkini antara pihak Iran dan Amerika Serikat. Lokasi ini sejatinya menjadi tempat yang paling tidak kami duga akan dijadikan sarang persembunyian mereka."
