O DarkBlinders é um grupo de ciberespionagem com provável ligação ao Irã, acompanhado por pesquisadores desde setembro de 2024, que tem como alvos empresas de telecomunicações, infraestrutura de aviação e entidades governamentais no Oriente Médio, em especial no Iraque, nos Emirados Árabes Unidos e em Israel. O principal objetivo observado é a coleta de informações estratégicas. A identidade dos integrantes e a cadeia de comando permanecem desconhecidas publicamente.
Os ataques combinam engenharia social, com e-mails direcionados, páginas falsas de login, ferramentas técnicas adulteradas e propostas fraudulentas de emprego. Em uma campanha descrita pela Unit 42, da Palo Alto Networks, os atacantes se passaram por recrutadores da Dubai Airports e enviaram um teste de programação malicioso a um engenheiro de software no Iraque, sem evidência de que a Dubai Airports tenha sido invadida. Outra operação usou o StarkMeet, falso aplicativo de videoconferência, como disfarce para instalar componentes de espionagem. O arsenal inclui o SHELBYLOADER, que carrega componentes maliciosos, e o SHELBYC2, usado para acesso remoto e exfiltração de arquivos, e uma marca do grupo é o abuso do GitHub para trocar comandos e dados com os computadores infectados. Segundo a Dream Research Labs, uma campanha entre agosto e outubro de 2026 comprometeu um indivíduo ligado ao setor de segurança israelense e um ambiente de nuvem governamental no Curdistão iraquiano, de onde foram retirados ao menos 1 GB de dados.
Para a atribuição de ataques cibernéticos, o vínculo com o Irã é uma avaliação de inteligência, e os próprios pesquisadores divergem no grau de confiança: a Group-IB atribui ao DarkBlinders, com baixa confiança, associação a atividade ligada ao Irã, enquanto a Unit 42 avalia, com alta confiança, a ligação iraniana na campanha da Dubai Airports. Relatórios também apontam sobreposições com os identificadores UNC5795 e Dust Specter e possíveis relações com o ecossistema do APT34, também conhecido como OilRig, mas essas conexões têm graus distintos de certeza e não podem ser tratadas como equivalentes definitivos. Para defensores, o uso do GitHub como canal de comando indica que a detecção tende a depender de comportamento de processos e de tráfego anômalo para a plataforma, mais do que de bloqueio de domínios suspeitos, e a lista de vítimas e de indicadores públicos continua parcial.