Um grupo de hackers vinculado ao Irã, identificado como Black Shadow, lançou uma campanha de destruição digital abrangente nos Estados Unidos e no Oriente Médio, apagando sistemas de TI, eliminando backups e desmantelando a infraestrutura de recuperação em múltiplas organizações.
O que se sabe sobre a campanha
Os ataques, realizados sob uma persona pró-iraniana chamada "Ababil of Minab", foram além do roubo de dados, deixando as vítimas com pouca capacidade de restaurar seus sistemas. A campanha surgiu pela primeira vez no final de março e início de abril de 2026, quando o Ababil of Minab assumiu a responsabilidade por violar a Autoridade de Transporte Metropolitano do Condado de Los Angeles (LA Metro) e destruir seus dados.
A LA Metro confirmou a violação em 2 de abril de 2026. Horas após os atacantes excluírem máquinas virtuais dentro do console de gerenciamento da agência, a autoridade de trânsito relatou que os passageiros não conseguiam carregar a tarifa no aplicativo TAP Mobile. Analistas da Gambit Security descobriram que o Ababil of Minab não é um grupo de hacktivistas independente, como afirmam. Evidências forenses vinculam a operação ao Black Shadow, um grupo vinculado ao Irã atribuído pelo Diretorado Nacional de Cibersegurança de Israel ao Ministério de Inteligência e Segurança do Irã.
Vetores de ataque e destruição de backups
A Gambit Security informou que os atacantes usaram automação de scripts e técnicas de digitação manual para destruir a infraestrutura de TI, virtualização e backups. Além da LA Metro, a campanha atingiu a Autoridade de Transporte Regional do Sul da Flórida, uma empresa chamada UNIMAC e um serviço de rastreamento GPS para consumidores chamado Vyncs.
O que torna esta campanha distinta é a forma metódica como os atacantes eliminaram qualquer chance de recuperação. Eles caçaram sistemas de backup, derrubaram cadeias inteiras de banco de dados e excluíram arquivos do sistema operacional para impedir a restauração. Em um incidente, o atacante usou um chatbot de IA para refinar um script de destruição personalizado, adicionando uma dimensão perturbadora à atividade cibernética vinculada ao estado.
Evidências de atribuição ao estado iraniano
Os atacantes confiaram em dois métodos principais: scripts automatizados e interação direta com ferramentas de sistema. Na LA Metro, eles desligaram e excluíram máquinas virtuais através da própria plataforma de virtualização da organização. Na UNIMAC, eles apagaram três volumes de armazenamento e renomearam novas partições como "Minab" como cartão de visita.
Na Vyncs, o grupo executou um script Python personalizado chamado main.py que iterou por 58 destinos do SQL Server e derrubou todos os bancos de dados. Todas as 58 execuções tiveram sucesso com zero falhas. Enquanto o script rodava, o atacante excluiu manualmente 16 arquivos de backup diário do SQL e destruiu pastas do sistema Windows, confirmando a destruição total.
Impacto operacional e setores afetados
Investigadores identificaram vítimas adicionais em Israel e Turquia nos setores de mídia, ensino superior e seguros. A amplitude da operação sinaliza um esforço deliberado e coordenado, em vez de hacking oportunista. Organizações em infraestrutura crítica, transporte e educação devem revisar urgentemente os controles de acesso, práticas de isolamento de backup e prontidão de resposta a incidentes.
A infraestrutura de ataque inclui servidores de staging que hospedavam sites falsos de suporte à saúde mental para soldados israelenses em agosto de 2025. O mesmo servidor foi encontrado transferindo arquivos roubados para a infraestrutura desta campanha.
Indicadores de comprometimento (IoCs)
Os indicadores de comprometimento incluem endereços IPv4 de servidores de staging e C2, domínios como nefeshhope[.]com e hashes SHA-256 de ferramentas como FileFiend e Exchangedb.exe. Ferramentas como proxychains, xfreerdp e axel foram usadas para tunelamento e exfiltração. Os IPs e domínios devem ser verificados em plataformas de inteligência de ameaças como MISP ou VirusTotal.
Recomendações para CISOs
Os CISOs devem isolar backups offline, monitorar tráfego de saída para domínios suspeitos e revisar logs de acesso administrativo. A detecção de scripts Python personalizados e o uso de chatbots para refinamento de código malicioso devem ser priorizados nos sistemas de monitoramento de endpoint.