假招聘邮件直穿内网, Blinder Tunnel行动完整入侵链复盘

子午猫
子午猫

网络侦查研究院

2026年10月19日 06:33
湖南

去阅读

行动概览, 国家背景定向攻击横跨数月

unit42将此次攻击命名为Blinder Tunnel行动, 组织编号CL-STA-1178/The Shelby Strategy, 疑似伊朗背景, 横跨中东、蛰伏数月。基础设施搭建最早始于2025年11月, 至2026年3月正式激活, 目标直指伊拉克关键基础设施。

入口, 假招聘门户先建立信任

攻击者冒充迪拜机场HR, 诱导下载Inno Setup安装包伪装成离线招聘门户, 登录后填十道题HR问卷。此阶段不回连、不外发、不执行恶意代码, 唯一目的是建立信任。需说明迪拜机场系统本身未被攻破, 攻击者仅冒用其招牌。

核心武器, 打开工程即后门落地

2026年4月攻击者寄出Visual Studio工程压缩包DubaiAirport\_Carrers\_IT\_Test.zip, 内藏bug诱使工程师打开。一旦.csproj被加载, 借微软官方msbuild执行恶意Target, 经AppDomainManager劫持关掉ETW监控, 再以DLL侧加载收尾, 后门在带签名的可信进程里运行。

工具箱, 模块化多阶段活在云上

核心四组件: ShelbyLoader V2主加载器、PsProxy.dll内存内PowerShell引擎、ShelbyC2 V2主后门、Blackwood内存内Chisel隧道加载器。ShelbyLoader V2内嵌两定时器, 每120秒建持久化注册表键MicrosoftRuntime, 每63秒发一次beacon, 并借GitHub Issues当备用C2死投解析器。

归因, 伊朗背景的多处硬证据

命名自《浴血黑帮》的GitHub账号peakyblinders-tm其README内嵌片头曲, 元数据COMMENT字段留MusicDel[.]ir即伊朗音乐站; Blackwood早期样本连伊朗ISP地址, 被动DNS指向波斯语域名soroshpasargad[.]com; 受害者集中于伊拉克电信航空、阿联酋沙迦机场、以色列实体, 手法与APT35等伊朗集群重叠。Blackwood配置指向IP 91.107.156[.]29, 反向SOCKS代理端口10999。

情报价值：借可信开发者工具链(msbuild/AppDomainManager/DLL侧加载)实现免杀已成高级定向攻击常态, GitHub公开仓库被用作C2与死投解析器, 防守需监控系统目录外加载陌生DLL及异常GitHub API调用。

来源：黑鸟（2026年10月7日，广东）