Irańska grupa CL-STA-1178 udawała dział IT lotniska w Dubaju

Unit 42 przypisał irańskiej grupie CL-STA-1178 kampanię Blinder Tunnel, w której napastnicy podszywali się pod dział IT lotniska w Dubaju i wysyłali wybranym osobom zadania programistyczne z ukrytym złośliwym kodem. Atak na infrastrukturę krytyczną Iraku nastąpił w marcu 2026, a przygotowania infrastruktury widać od listopada 2025.

Po trzyetapowym wejściu do sieci grupa instalowała własne oprogramowanie ShelbyLoader V2. Sterowała nim przez API GitHuba, żeby ruch wyglądał jak zwykła komunikacja z chmurą. GitHub zdjął infrastrukturę wskazaną przez badaczy. Błędy napastników pozwoliły powiązać kampanię z inną akcją tej samej grupy: w maju i czerwcu 2026 wyłudzała ona dane logowania od izraelskiego podmiotu przez przynęty w Google Drive nawiązujące do konfliktu.

Kogo dotyczy

Atakowane były osoby i organizacje o wysokiej wartości: infrastruktura krytyczna Iraku oraz, w osobnej akcji, podmiot w Izraelu. Raport nie wskazuje ofiar w Polsce ani podatności w konkretnym produkcie.