Una falsa oferta de empleo se convierte en puerta de entrada para atacar infraestructura crítica en Irak
Una falsa oferta de empleo se convierte en puerta de entrada para atacar infraestructura crítica en Irak
Compartir:
Diana Dorado
Redacción
14 de octubre de 2026
La Unidad 42 de Palo Alto Networks descubrió una campaña de ciberespionaje respaldada por el Estado iraní, denominada «Blinder Tunnel», que utilizó ofertas de empleo falsas y retos de programación infectados con troyanos para comprometer redes de infraestructura crítica en Irak. La operación, cuyo despliegue comenzó en marzo de 2026 tras una fase de preparación identificada en noviembre de 2025, involucró la suplantación del departamento de TI de Dubai Airports.
El informe unifica ataques previamente dispares y demuestra que el actor malicioso incorporó una temática inspirada en la serie británica Peaky Blinders —nombrando componentes de red e incluso integrando la sintonía musical de la serie en el malware—. Pese a la sofisticación en el evasivo uso de APIs en la nube, los atacantes cometieron errores de seguridad operativa (OpSec) que permitieron vincular esta actividad con ataques contra entidades israelíes realizados entre mayo y junio de 2026.
1. Indicadores de la cadena de ataque y vector de compromiso «Blinder Tunnel»
|
Etapa / Componente |
Mecanismo Técnico (Unidad 42 / Palo Alto Networks) |
Diagnóstico Estratégico y Evasión |
|---|---|---|
|
Vector Inicial |
Reclutamiento falso + Reto de código troyanizado |
Suplantación de Dubai Airports dirigida a personal de infraestructura crítica. |
|
Secuencia de Infección |
1. Proyectos .csproj legítimos de Windows 2. Secuestro de AppDomainManager 3. Carga lateral de DLL (DLL Side-loading) |
Despliegue sigiloso del malware personalizado ShelbyLoader V2. |
|
Infraestructura C2 |
Uso indebido de la API y repositorios de GitHub |
Camuflaje de tráfico malicioso como tráfico legítimo a la nube para descargar payloads. |
|
Mecanismo de Respaldo |
Gestión de incidencias (GitHub Issues) |
Resiliencia C2 alternativa para sostener el control si se bloqueaban los servidores. |
|
Pifias de OpSec |
Claves expuestas y metadatos en audio |
Herramientas en repositorios públicos relacionaron la campaña con ataques en Israel (2026). |
2. Abuso de plataformas en la nube e implicaciones para la infraestructura crítica
El análisis de la Unidad 42 resalta patrones clave sobre la evolución del ciberespionaje estatal en la región:
-
Ingeniería Social Altamente Dirigida (Lure-based attacks): El uso de retos de programación en procesos de selección permite a los atacantes lograr que las propias víctimas ejecuten código malicioso en entornos corporativos o de desarrollo con privilegios elevados.
-
Abuso de Servicios Legítimos (Living off the Cloud): El empleo de GitHub para almacenar claves de descifrado, distribuir cargas útiles y gestionar el comando y control (C2) dificulta la detección mediante herramientas tradicionales de monitoreo de red.
-
Respuesta de la Industria: GitHub procedió a la desactivación inmediata de las cuentas e infraestructura asociadas a la campaña una vez reportados los hallazgos por Palo Alto Networks.
"La campaña Blinder Tunnel demuestra cómo los actores estatales perfeccionan el abuso de plataformas en la nube como GitHub y la ingeniería social basada en procesos de selección de personal para infiltrar infraestructuras críticas. La identificación de errores en su seguridad operativa fue determinante para vincular estos ataques en Irak con campañas paralelas registradas en Oriente Medio durante 2026", concluye el informe de la Unidad 42.