Pakar keamanan siber telah membeberkan laporan menyeluruh mengenai operasi spionase digital skala besar yang menghantam target strategis di wilayah Israel serta kawasan Kurdistan, Irak. Kampanye berbahaya ini diyakini digerakkan oleh sindikat peretas yang berafiliasi erat dengan pemerintah Iran dan tercatat beroperasi intensif sepanjang rentang waktu Agustus hingga Oktober 2026.
Berdasarkan investigasi komprehensif yang dirilis secara terbuka oleh lembaga Dream Research Labs, gelombang serangan canggih tersebut berhasil membobol pertahanan milik seorang tokoh terkemuka di Israel. Tidak berhenti sampai di situ, peretasan ini juga menimbulkan dampak kerugian fatal pada sistem infrastruktur komputasi awan yang dikelola oleh entitas birokrasi pemerintahan resmi di Kawasan Kurdistan.
Aktivitas kejahatan siber yang agresif ini secara pasti diatribusikan kepada kelompok spionase bernama DarkBlinders. Sindikat berlatar belakang Iran ini diyakini para analis telah aktif melancarkan manuver ofensif setidaknya sejak September 2024. Mereka sebelumnya tercatat menargetkan sektor krusial penerbangan sipil dan penyedia layanan telekomunikasi di Uni Emirat Arab serta Irak, tanpa adanya tumpang tindih teknis langsung dengan kelompok spionase siber lain yang telah terdata.
Dalam menjalankan berbagai operasinya, sel siber ini sangat bergantung pada skema rekayasa sosial berupa spear-phishing yang dirancang sebagai pintu gerbang penyusupan paling awal. Tak-tik manipulasi psikologis ini dipakai untuk mengelabui para korban sasaran agar mengunduh perangkat lunak yang disusupi trojan, atau memancing mereka membuka portal web berbahaya yang menyajikan alat sejenis untuk diunduh langsung ke komputer target.
Rangkaian eksploitasi masa lalu yang pernah didokumentasikan oleh peneliti Elastic Security Labs dan Group-IB memaparkan proses penyebaran komponen SHELBYLOADER atau yang dikenal pula dengan label HOTAIR. Modul tersebut dieksekusi menggunakan teknik DLL sideloading demi mengaktifkan pintu belakang berbahaya bernama SHELBYC2 atau AEROSTAT. Pintu belakang ini memanfaatkan platform GitHub sebagai jalur komando kendali komunikasi, eksfiltrasi data, dan kendali jarak jauh. Tim analis Elastic memantau kelompok penyerang ini dengan sandi pelacak REF8685.
Kemudian pada kurun waktu awal bulan lalu, periset dari Palo Alto Networks berhasil mengungkap operasi lanjutan bertajuk Blinder Tunnel. Di bawah kode identifikasi CL-STA-1178, operator siber tersebut tertangkap basah memalsukan identitas divisi teknologi informasi pengelola Dubai Airports guna menyalurkan tantangan pengkodean rekayasa terinfeksi kepada profil sasaran berkedudukan tinggi.
Trik manipulasi bermodus rekrutmen tenaga kerja palsu tersebut awalnya terdeteksi para analis pada akhir Maret 2026. Kendati demikian, jejak forensik digital memperlihatkan bahwa pelaku telah merancang dan menyempurnakan infrastruktur penyerangan mereka sejak November 2025.
Rancangan social engineering ini dirancang untuk mendatangi calon korban tertentu sembari menjanjikan tawaran karir profesional yang menggiurkan. Tujuannya adalah memandu target membuka program aplikasi khusus yang menyamar sebagai platform seleksi pelamar, lalu memerintahkan mereka merampungkan formulir asesmen kuesioner awal.
Tahap pengisian formulir evaluasi awal tersebut sejatinya tidak melakukan pencurian data atau mengirim sinyal keluar ke peladen asing. Seluruh kuesioner itu sekadar dirancang sebagai umpan pengalih perhatian guna menumbuhkan rasa percaya korban secara perlahan. Setelah korban lengah, penyerang segera mendistribusikan muatan tahap berikutnya berupa paket proyek Microsoft Visual Studio berbahaya yang disamarkan seolah-olah ujian tes pemrograman komputer murni.
Mekanisme penyerangan ini mengandalkan sinergi tiga metode teknis guna menanamkan akses permanen: berkas manipulatif C# project berekstensi .csproj dimanfaatkan untuk memicu AppDomainManager injection, disusul eksekusi DLL sideloading demi memuat SHELBYLOADER varian mutakhir yakni ShelbyLoader V2, yang kemudian membangkitkan SHELBYC2. Di samping itu, SHELBYC2 turut menginjeksi sebuah perangkat terowongan data khusus berjuluk Blackwood ke dalam komputer korban.
"Para peretas di balik aksi terkoordinasi ini mengandalkan pendekatan rekayasa sosial yang dirancang spesifik untuk menyamar sebagai staf perekrut resmi Dubai Airports, menyisipkan tantangan pemrograman Visual Studio bietrojan guna menyasar pencari kerja bernilai tinggi di Irak," demikian dipaparkan oleh perwakilan Unit 42.
"Operasi ini memperlihatkan karakteristik penyalahgunaan perkakas pengembang bawaan serta teknik DLL sideloading. Kelompok penyerang juga menerapkan pembajakan AppDomainManager untuk mengakali pengawasan keamanan sistem internal seperti Event Tracing for Windows," jelas mereka.
Dokumentasi investigasi termutakhir Dream membuktikan bahwa peretas tetap mengandalkan muslihat manipulasi mental, memadukan pencurian kredensial akun dengan penyebaran perangkat lunak perusak secara bersamaan. Manuver ini mencakup pembuatan domain kloningan yang menyerupai situs instansi resmi, portal surat elektronik komersial, dan peladen cloud demi mengelabui korban agar memasukkan akun atau mengunduh arsip berbahaya.
Operator ancaman tersebut turut diketahui mendirikan sejumlah alamat situs samaran untuk sebuah aplikasi rapat daring palsu berlabel StarkMeet, memakai domain stark-meet[.]com, stark-meet[.]online, serta stark-meet[.]website. Bilamana perangkat lunak palsu tersebut diunduh dan dipasang pada komputer sasaran, hal itu akan langsung menyulut peluncuran ShelbyLoader V2 dan pintu belakang SHELBYC2.
Seluruh rentetan temuan anyar ini memperjelas indikasi bahwa gerombolan penyerang tengah giat menguji bermacam-macam kanal distribusi muatan berbahaya, bermula dari penyamaran tes pengkodean perangkat lunak hingga peniruan program aplikasi komunikasi komersial.
Pihak Dream memaparkan bahwa rekam jejak DarkBlinders berada dalam lingkaran operasi yang serupa dengan entitas siber UNC5795 serta Dust Specter, berpatokan pada kecocokan infrastruktur jaringan dan kode malware. Entitas Dust Specter sendiri pernah didokumentasikan oleh Zscaler pada Maret 2026 sebagai kelompok binaan Iran yang memburu pejabat pemerintahan Irak lewat peniruan Kementerian Luar Negeri.
"Data sidik jari peladen historis, pola tumpang tindih identitas korban, serta rujukan atribusi pendukung mengarahkan kami pada kesimpulan berkeyakinan sedang bahwa kluster UNC5795 dan UNC5187 merupakan sub-kelompok yang saling terafiliasi di bawah payung organisasi peretas APT34," tambah keterangan tim tersebut.
"Titik temu fokus kedua kelompok yang secara simultan membidik entitas pemerintahan Irak memperkuat keterkaitan teknis ini sekaligus memperlihatkan adanya pembagian kepentingan pengumpulan intelijen bersama. Dipadukan dengan keterikatan masing-masing terhadap kelompok APT34, fakta-fakta ini memperkuat kesimpulan berkeyakinan sedang bahwa kedua kluster beroperasi dalam koordinasi erat dan kemungkinan bernaung dalam organisasi besar yang identik," tegas periset.
Prince of Persia Mengoperasikan Peladen Pengendali di AS untuk Kali Pertama dalam Satu Dekade
Pengungkapan aksi spionase DarkBlinders ini mencuat bersamaan dengan kabar aktivitas kelompok Prince of Persia alias Infy, faksi peretas siber tersembunyi yang disokong otoritas Iran. Kelompok ini tercatat mengendalikan salah satu peladen C2 berkode 68.65.122[.]203 langsung dari teritorial Amerika Serikat tahun ini, yang disinyalir mulai disiapkan sekitar Juli 2026.
Fasilitas jaringan tersebut merupakan pusat komando lapis kedua yang terkoneksi langsung dengan Tornado, varian malware turunan Tonnerre yang disuntikkan lewat pemanfaatan kerentanan software one-day serta mengandalkan protokol HTTPS dan API Telegram sebagai kanal komunikasinya. Kemunculan infrastruktur komando anyar pada penghujung Mei 2026 ini memutus masa vakum tanpa aktivitas selama tiga bulan penuh, yang dipandang para ahli sebagai jeda pasif terpanjang sepanjang dua puluh tahun sepak terjang kelompok peretas tersebut.
"Kami terus memantau manuver penarikan data spionase milik faksi Prince of Persia sepanjang enam bulan belakangan," ujar Tomer Bar, selaku wakil presiden asosiasi riset keamanan di Semperis. "Total target terinfeksi yang terpantau masih sangat terbatas, yang mengindikasikan serangan sangat selektif atau adanya hambatan teknis dalam menjaring mangsa baru."
"Sindikat peretas Iran tersebut mengambil keputusan berani untuk menaruh peladen C2 baru mereka di tanah Amerika Serikat — tepat pada momentum eskalasi friksi panas antara Iran dan AS. Lokasi itu sungguh wilayah terakhir yang kami duga akan dijadikan tempat persembunyian mereka," pungkas Bar.