Un reciente estudio de la Unidad 42 identificó una actividad no comunicada anteriormente que se atribuye a un actor malicioso vinculado al Estado iraní.
La actividad utilizó un proceso de selección de personal falso y un reto de programación para atacar a una persona del sector de las infraestructuras críticas de Irak.
La Unidad 42 de Palo Alto Networks descubrió que un actor malicioso vinculado al Estado iraní se hizo pasar por el departamento de TI de Dubai Airports para enviar retos de programación infectados con troyanos a objetivos de alto valor.
Esta actividad incluye una campaña que la Unidad 42 denominó «Blinder Tunnel», dirigida contra infraestructuras críticas iraquíes en marzo de 2026, tras una fase de preparación de la infraestructura que se observó ya en noviembre de 2025.
El nombre de la campaña «Blinder Tunnel» fue seleccionado debido a los términos de infraestructura que utilizaron los atacantes, así como por las capacidades de túnel del malware. Aunque otros proveedores de seguridad han analizado ataques individuales vinculados a esta actividad, este es el primer informe que no solo relaciona a estos ataques dispares como una actividad conjunta, sino que también realiza un seguimiento de la evolución de la actividad de 2026 y de la campaña «Blinder Tunnel» en su conjunto.
La Unidad 42 considera con un alto grado de confianza que esta actividad se ajusta a una amenaza vinculada a Irán, así mismo, esta campaña amplía operaciones anteriores e incorpora una temática inspirada en «Peaky Blinders», al nombrar los componentes de la infraestructura en referencia a la marca de la serie británica de crimen, llegando incluso a integrar su tema musical en el malware.
La unidad de investigación, descubrió que los atacantes establecieron un punto de apoyo inicial mediante una cadena de ataque de tres pasos:
• Aprovecharon archivos .csproj legítimos de desarrolladores de Windows
• Llevaron a cabo un secuestro de AppDomainManager
• Ejecutaron binarios mediante la carga lateral de DLL
Estos pasos permitieron a los atacantes desplegar un malware personalizado el cual se denominó ShelbyLoader V2. Para camuflarse entre el tráfico legítimo de la nube, la campaña hizo un uso indebido de la infraestructura de la API de GitHub para la comunicación de comando y control (C2). Para ello, aprovechó los repositorios con el fin de:
• Obtener claves de descifrado
• Descargar cargas útiles
• Utilizar las incidencias de GitHub como un mecanismo de respaldo C2 resistente
GitHub ha desactivado la infraestructura maliciosa que se identificó como asociada a esta campaña. De igual forma, la investigación de la Unidad 42 se benefició de varios errores de seguridad operativa (OpSec) y criptográficos cometidos por los atacantes, entre los que se incluyen:
• La exposición de herramientas en repositorios públicos
• La combinación de infraestructura de phishing y de túneles
• La incorporación de metadatos en la sintonía de la serie
Estos errores tácticos vincularon la infraestructura de Blinder Tunnel con otra campaña en la que el mismo actor utilizó señuelos en Google Drive relacionados con conflictos para recopilar credenciales de una entidad israelí entre mayo y junio de 2026.