DarkBlinders APT cible Israël et Kurdistan via StarkMeet

Ce qui s'est passé

La société de cybersécurité Dream Security a publié le 3 novembre 2026 un rapport d'attribution détaillé sur DarkBlinders, un groupe APT (Advanced Persistent Threat) jusqu'alors peu documenté dans les bases de données de threat intelligence publiques. Ses opérations d'espionnage ont ciblé au moins deux entités dans deux pays distincts sur une période couvrant août à octobre 2026. Selon les chercheurs, la campagne pourrait toujours être en cours sur certains systèmes compromis à la date de publication du rapport.

La première cible identifiée est un individu travaillant dans le secteur de la sécurité en Israël. La nature exacte de son rôle n'a pas été divulguée pour des raisons de protection opérationnelle, mais Dream Security indique que sa fonction lui donne accès à des informations sensibles relatives à l'infrastructure de défense cybernétique israélienne. La seconde cible, d'un profil radicalement différent, est un environnement cloud gouvernemental appartenant à l'administration du Kurdistan irakien, région autonome dont l'infrastructure numérique est en plein développement et dont les systèmes sont considérés comme moins matures en termes de posture de sécurité.

Le vecteur d'intrusion initial varie selon les cibles. Pour la cible israélienne, DarkBlinders a employé des techniques de spear-phishing sophistiquées, envoyant des emails ciblés avec des documents leurres faisant référence à des conférences régionales de cybersécurité. Ces documents, au format Office ou PDF, contenaient des macros ou exploitaient des failles de rendu documentaire pour déposer un dropper initial sur le poste de la victime. Pour l'environnement gouvernemental irakien, les attaquants ont exploité des credentials compromis, probablement obtenus lors d'une précédente campagne de collecte d'identifiants, pour s'authentifier directement sur des services cloud exposés sans déclencher d'alertes immédiates.

Le malware central de l'arsenal de DarkBlinders est StarkMeet, un implant modulaire inédit qui n'avait pas été documenté avant ce rapport. Dream Security décrit StarkMeet comme un Remote Access Trojan (RAT) capable d'exécuter des commandes arbitraires, de capturer des copies d'écran à intervalles configurables, d'enregistrer les frappes clavier, d'exfiltrer des fichiers selon des critères de filtrage précis (extensions, taille, date de modification), et de télécharger des modules complémentaires depuis un serveur de commande et contrôle. Ce qui distingue StarkMeet des RAT conventionnels est son mécanisme de persistance discret et son canal de communication via GitHub.

DarkBlinders utilise GitHub comme infrastructure de commande et contrôle (C2) déguisée, une technique de plus en plus répandue parmi les acteurs APT pour contourner les défenses basées sur les listes noires d'IP ou de domaines. Les backdoors déposés sur les systèmes compromis communiquent avec des dépôts GitHub créés sous des identités fictives. Les commandes destinées aux implants sont encodées dans les messages de commits ou les issues de ces dépôts, et les réponses sont exfiltrées de manière similaire dans de nouveaux commits. Cette approche, parfois désignée sous le terme Living off Trusted Sites (LoTS), rend le trafic C2 pratiquement indiscernable du trafic GitHub légitime, généralement whitelisté dans les pare-feux d'entreprise et les proxies de filtrage.

L'impact concret de la campagne est substantiel : au moins 1 Go de données a été exfiltré depuis l'environnement cloud gouvernemental irakien. Dream Security n'a pas précisé la nature exacte des données volées pour ne pas compromettre les investigations judiciaires en cours, mais indique qu'elles comprennent des documents administratifs, des échanges de messagerie et potentiellement des informations sur les infrastructures numériques gouvernementales. La compromission de credentials a également été confirmée, avec une récupération probable d'identifiants permettant un accès élargi aux systèmes gouvernementaux connexes.

L'attribution de DarkBlinders reste partielle. Dream Security s'abstient de l'associer formellement à un Etat, mais plusieurs indicateurs techniques — style de codage de StarkMeet, choix de l'infrastructure d'hébergement des étapes intermédiaires, chevauchement partiel avec des campagnes antérieures — suggèrent une connexion possible avec des acteurs opérant depuis l'Iran ou le Liban. Le ciblage combiné d'Israël et du Kurdistan irakien, deux régions en tension géopolitique avec des acteurs régionaux spécifiques, renforce l'hypothèse d'une motivation étatique plutôt que purement financière ou cybercriminelle.

Les indicateurs de compromission (IoC) publiés par Dream Security incluent des hachages SHA-256 de variantes de StarkMeet, les noms des dépôts GitHub malveillants utilisés comme C2 — depuis désactivés par GitHub après notification responsable — et plusieurs adresses IP de serveurs de staging intermédiaires. Les équipes SOC peuvent intégrer ces IoC dans leurs plateformes SIEM et SOAR pour détecter rétrospectivement des activités similaires dans leurs environnements et identifier d'éventuelles compromissions non encore signalées.

Pourquoi c'est important

L'utilisation de GitHub comme infrastructure C2 par DarkBlinders illustre une tendance de fond qui complexifie considérablement la détection des APT modernes. Les systèmes de détection basés sur la réputation des domaines ou des adresses IP sont inefficaces contre une communication qui transite entièrement par des services cloud légitimes. Cette technique est désormais documentée chez plusieurs groupes APT de premier plan, dont APT41 et Lazarus Group. Son adoption par des groupes moins connus comme DarkBlinders signale une démocratisation de ces techniques avancées, élargissant le spectre des menaces difficiles à détecter pour les équipes SOC.

La diversité géographique des cibles — un individu en Israël et un gouvernement au Kurdistan irakien — révèle une stratégie de ciblage croisé qui maximise la valeur du renseignement collecté. Les informations sur l'infrastructure de sécurité israélienne, combinées à une visibilité sur les systèmes gouvernementaux d'une région voisine en développement, constituent un corpus de renseignement d'intérêt stratégique élevé. Pour les organisations du secteur de la défense et de la sécurité nationale, cette campagne rappelle que les individus ayant accès à des informations sensibles sont des cibles prioritaires, indépendamment du niveau de sécurité de leur organisation d'appartenance.

La découverte de StarkMeet enrichit le panorama des malwares d'espionnage documentés. Son architecture modulaire — keylogging, exfiltration filtrée par critères, téléchargement de modules additionnels — le place dans la catégorie des plateformes d'espionnage flexibles, adaptables à différents objectifs de collecte selon la cible. La publication d'un rapport d'attribution détaillé par Dream Security permet aux éditeurs de solutions de sécurité d'enrichir leurs signatures de détection, réduisant l'efficacité opérationnelle de StarkMeet dans les semaines à venir et forçant DarkBlinders à développer de nouvelles variantes.

Pour les entreprises et administrations françaises et européennes, cet incident constitue un rappel de la nécessité d'une surveillance accrue des communications GitHub au sein des réseaux d'entreprise. Sans aller jusqu'au blocage complet de la plateforme, des mécanismes d'inspection comportementale du trafic vers GitHub peuvent détecter des usages anormaux : accès depuis des processus non-IDE, fréquence élevée de requêtes vers des dépôts obscurs récemment créés, ou patterns de commits automatisés depuis des serveurs métier. Les solutions CASB (Cloud Access Security Broker) et UEBA (User and Entity Behavior Analytics) sont particulièrement adaptées à cette surveillance non bloquante.

Ce qu'il faut retenir

• Intégrer les IoC publiés par Dream Security dans les SIEM et SOAR pour détecter rétrospectivement StarkMeet et les backdoors GitHub de DarkBlinders.
• Mettre en place une surveillance comportementale du trafic vers GitHub, notamment depuis des processus systèmes ou des serveurs ne réalisant pas de développement logiciel.
• Sensibiliser les collaborateurs à profil sensible (sécurité, défense, gouvernement) aux techniques de spear-phishing utilisant des documents leurres thématiques.