קמפיין הסייבר שיוחס לאיראן נגד ישראל ושתי מדינות ערב - והקשר ל"כנופיית ברמינגהם"

חוקרי חברת אבטחת הסייבר פאלו אלטו נטוורקס חשפו קמפיין תקיפה מתוחכם המיוחס לגורמים איראניים, אשר כוון נגד ישראל, עיראק ואיחוד האמירויות. הקמפיין כלל ניסיונות לגניבת פרטי התחברות ופגיעה בתשתיות קריטיות, תוך שימוש בטקטיקות מתקדמות להסוואת הפעילות הזדונית.

במקרה אחד, התוקפים יצרו תהליך גיוס מזויף שכלל פורטל קריירה, שאלון ומבחן תכנות. המלכודת הוסתרה בקובץ פרויקט, שפתיחתו בתוכנת Visual Studio עלולה הייתה להפעיל נוזקה ולאפשר גישה מרחוק. התוקפים השתמשו גם בפלטפורמת GitHub להעברת הוראות לנוזקה, ו-GitHub הסירה את התשתית הזדונית לאחר זיהויה.

בישראל, קמפיין נוסף של אותם תוקפים, שהתרחש במאי ויוני 2026, השתמש בפיתיון של "מסמכי מלחמה שלא פורסמו". עמוד שהתחזה ל-Google Drive הציע להוריד קובץ, אך בפועל הוביל לעמוד התחברות מזויף של גוגל במטרה לגנוב פרטי התחברות. המחקר לא פירט את זהות הגוף הישראלי שהותקף או אם התוקפים הצליחו לגנוב פרטי התחברות.

מאפיין יוצא דופן בקמפיין היה השימוש של התוקפים בסדרת הטלוויזיה "כנופיית ברמינגהאם". הם השתמשו בשם הסדרה ובשמות דמויותיה, ואף העלו את שיר הנושא שלה למאגר GitHub ציבורי. מידע שנמצא בקובץ השמע הצביע על אתר מוזיקה איראני, מה שחיזק את הערכת החוקרים בדבר הזיקה לאיראן. התוקפים גם התחזו לחברת Dubai Airports, אך לא ידוע על פריצה למערכותיה.