Кампанию кибершпионажа CandleStone нацелили на аэрокосмические компании, оборонных подрядчиков и государственные структуры ОАЭ. Её приписывают группе Peach Sandstorm, известной также как APT33. Фишинговые письма ссылаются на Abu Dhabi Space Debate, а вредоносное ПО приходит в архивах с образами виртуальных дисков. Такой контейнер обходит защитный механизм Windows Mark-of-the-Web. Ранее группа переходила от сбора разведданных к разрушительным операциям, поэтому нынешнюю активность считают возможной ранней стадией более серьёзных действий.
Описание
По данным CyberShelter Threat Intelligence, уверенность в атрибуции высокая: группу компания связывает с Корпусом стражей исламской революции и ведёт её историю с 2013 года. Уведомление о безопасности TIA-UAE-2026-023 опубликовано 4 марта 2026 года. Уровень опасности в документе обозначен как критический. Кампанию описали как активную и продолжающуюся.
ОАЭ делают ставку на космос и оборонные технологии, и это объясняет выбор объектов. В стране развивают программы вроде марсианской миссии Hope Probe, расширяются оборонные разработки. Для групп, которые ведут кибершпионаж, такие организации интересны доступом к техническим данным. Кампания CandleStone сосредоточена именно на этом контуре.
Основу доставки составляет образ виртуального диска. Получатель подключает его как обычный файл, после чего Windows считает содержимое локальными данными. Предупреждение, которое обычно сопровождает загрузку из интернета, не появляется. В этом сценарии защита Mark-of-the-Web, помечающая скачанные файлы, не срабатывает. Дальше срабатывает ярлык внутри тома: он запускает следующий этап.
После запуска работает бэкдор CandleStone - программа для скрытого доступа к системе. Ей нужны сведения о машине, сетевом окружении и учётной записи пользователя. Связь с серверами управления идёт по 443-му порту, поэтому смешивается с обычным защищённым трафиком. Домены для управления имитируют ресурсы ОАЭ, а зарегистрировали их заранее - так обходят репутационные фильтры.
Закрепление построено на боковой загрузке библиотеки: поддельный dxgi.dll подхватывает доверенный процесс Windows. В памяти легитимной программы сторонний код выглядит для средств защиты штатным запуском. Набор инструментов кампании рассчитан на закрепление, разведку и сбор учётных данных.
Сколько организаций затронуто и подтверждён ли доступ к внутренним сетям хотя бы в одном случае, не сообщается. Не раскрыт и объём сведений, который мог быть похищен. Неизвестен срок, в течение которого активность оставалась незамеченной. Независимых подтверждений атрибуции не приводится.
Индикаторы компрометации
