O grupo DarkBlinders, associado ao Irã, comprometeu um israelense de alto perfil e um ambiente de nuvem governamental no Curdistão iraquiano, em uma campanha de ciberespionagem que combina aplicativos falsos, phishing de credenciais e um backdoor que usa o GitHub para comando e controle. Segundo um resumo da SOC Prime de 14 de outubro, a operação está ativa e mira organizações governamentais e diplomáticas em Israel e na Região do Curdistão do Iraque, com ativação seletiva da segunda etapa do backdoor. A análise também observou a exfiltração de mais de 1 GB de dados do ambiente de nuvem governamental.
De acordo com o perfil da Group-IB, o grupo atua desde setembro de 2024 e usa duas ferramentas próprias, o carregador SHELBYLOADER e o backdoor SHELBYC2, cujo nome remete à série Peaky Blinders. A empresa descreve iscas como utilitários de teste de rede trojanizados, entre eles JPerf e NewrozSpeedtest, entregues a empresas de telecomunicações do Curdistão em fevereiro de 2025, além de portais falsos para coleta de credenciais. No canal de comando, metadados das vítimas e chaves de descriptografia são gravados em repositórios do GitHub controlados pelos operadores e recuperados pela API pública, enquanto uma consulta DNS serve para obter a chave da segunda etapa. A Group-IB avalia, com baixa confiança, que o DarkBlinders é um conjunto de intrusão associado a atividade de grupos iranianos, e ressalva que não encontrou evidência definitiva que o ligue a grupos conhecidos; os dados da empresa se referem principalmente a ataques anteriores nos Emirados Árabes Unidos e no Iraque.
Para a segurança digital de governos e empresas da região, o uso do GitHub como canal de comando é relevante porque o tráfego se mistura ao uso legítimo de uma plataforma comum em ambientes corporativos, o que desloca a detecção para o comportamento de processos incomuns que acessam a API e para resoluções DNS anormais, medidas que a própria Group-IB recomenda. A atribuição de baixa confiança indica que a ligação com o Irã se apoia em padrão de alvos e contexto, e não em elo técnico direto com um grupo conhecido, o que pede cautela ao tratar o caso como obra de um Estado. Como a Group-IB também observa mudanças de táticas capazes de tornar obsoletas assinaturas de detecção antigas, a lista de vítimas e de indicadores publicada até agora deve ser vista como uma fotografia parcial de um ator que continua se adaptando.