האקרים איראנים התחזו לחברת התעופה של דובאי - ושלחו מבחני קוד ממולכדים ליעדים רגישים

חוקרי סייבר של חברת פאלו אלטו נטוורקס חשפו קמפיין ריגול ותקיפה מתוחכם, המיוחס לקבוצת האקרים איראנית. הקמפיין, שזכה לכינוי "Blinder Tunnel", התחזה לחברת התעופה של דובאי ("Dubai Airports") ופנה למהנדסי תוכנה, בעיקר בעיראק, ישראל ואיחוד האמירויות, תחת מסווה של הצעות עבודה. התוקפים יצרו פורטל קריירה מזויף והציעו למטרותיהם תפקידי פיתוח, במטרה לגרום להם להוריד קבצים שנראו כחלק מתהליך גיוס רגיל.

השלב המתוחכם יותר כלל שליחת מבחן קבלה מזויף, שהכיל קוד זדוני שהופעל אוטומטית בעת טעינת הפרויקט בסביבת הפיתוח Visual Studio. הקוד הזדוני, שהופעל באמצעות מנגנונים מורכבים של מיקרוסופט, איפשר לתוקפים להשתלט על המערכות, לשלוף מפתחות הצפנה ולהוריד מטענים נוספים. התוקפים השתמשו ב-GitHub כמנגנון להורדת קבצים ולהעברת פקודות, ואף השתמשו בטכניקות מתקדמות כמו מנהור (tunneling) כדי להסתיר את פעילותם.

החוקרים הצליחו לקשור את הקמפיין לאיראן דרך מטא-דאטה של קובץ שיר שהועלה על ידי התוקפים, שהצביע על אתר מוזיקה איראני, וכן דרך כתובות IP ושרתים שקושרו לספקית אינטרנט איראנית. הקמפיין אף כלל ניסיון פישינג נגד יעד בישראל במאי ויוני 2026, שבו התחזו התוקפים לשירות Google Drive. נכון לעכשיו, לא ברור אם ההדבקות בעיראק הצליחו או אם נגנבו פרטי הזדהות מהיעד הישראלי. GitHub הסירה את התשתיות ששימשו את הקמפיין.