O ator de ameaça conhecido como Blind Eagle voltou à cena com uma nova campanha que tem como alvo organizações da América Latina. A operação usa iscas de phishing com temas judiciais e administrativos para distribuir um trojan de acesso remoto (RAT, do inglês remote access trojan) que compartilha sua linhagem com AsyncRAT e DCRat.
"A campanha usa iscas em português e espanhol que se parecem com notificações judiciais, notificações da Fiscalía, processos de tutela e documentos administrativos", afirmou a Zenox em um relatório compartilhado com o The Hacker News.
Avaliado como um grupo de língua espanhola e ativo desde 2018, o Blind Eagle (também conhecido como APT-C-36) tem histórico de uso de iscas de spear-phishing para distribuir RATs comerciais amplamente disponíveis, como AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT e Remcos RAT.
As cadeias de ataque começam com e-mails de phishing direcionados a pessoas que lidam com processos, contratos e solicitações de serviços judiciais ou institucionais, para induzi-las a abrir um anexo infectado com malware.
Um e-mail contendo um arquivo XHTML com tema judicial colombiano foi identificado como uma imagem SVG maliciosa (Gráficos Vetoriais Escaláveis, do inglês Scalable Vector Graphics), que renderiza uma página falsa se passando pela Fiscalía General de la Nación, da Colômbia, também conhecida como Escritório do Procurador-Geral.
A página, por sua vez, usa uma técnica conhecida como HTML smuggling para montar localmente, no navegador, o arquivo ZIP da próxima etapa, protegido com ZipCrypto, contornando assim os controles de segurança de e-mail.
Dentro do arquivo ZIP há um dropper em JavaScript que se disfarça de Network Configuration Auditor versão 2.7.298. O código realiza reconhecimento do ambiente e coleta detalhes como versão do sistema, perfil de rede, data de instalação, tamanho da memória, nome do computador, variáveis de ambiente e diretórios com nomes localizados em português e espanhol.
Ao ser executado, ele inicia um script Visual Basic que realiza o contorno da Interface de Varredura Antimalware do Windows (AMSI, do inglês Antimalware Scan Interface) e do Rastreamento de Eventos para Windows (ETW, do inglês Event Tracing for Windows), enquanto exibe uma página falsa de intimação criminal como mecanismo de distração.
Em paralelo, o malware também apaga o artefato XHTML original, limpa os metadados da Marca da Web (MotW, do inglês Mark of the Web) e estabelece persistência no computador, na pasta de Inicialização do Windows, para ser executado automaticamente na inicialização do sistema.
O ataque culmina com o uso do PowerShell para decodificar e executar, na memória, o payload final do RAT. O trojan é um fork do AsyncRAT com linhagem do DCRat, com base na estrutura do código, na configuração, nas características de compilação e no comportamento observado.
"O direcionamento a organizações judiciais, fiscais, administrativas e educacionais dá à operação acesso a informações jurídicas, financeiras e institucionais altamente sensíveis", afirmou a Zenox.
"Combinados com as iscas em português e espanhol, a infraestrutura brasileira, o fuso horário operacional e a vitimologia regional fazem com que esses elementos caracterizem a campanha como uma operação do APT-C-36 conduzida por meio de um cluster operacional brasileiro."
A Zenox informou ao The Hacker News que não conseguiu confirmar se algum desses ataques teve sucesso contra alvos reais. No entanto, durante o período da campanha, entre o final de outubro e o início de novembro de 2026, observou uma onda de grande escala de phishing direcionado, envolvendo quase 3.300 e-mails maliciosos.
Embora nem todas essas mensagens tivessem como alvo organizações da Colômbia, o país continua como alvo prioritário do Blind Eagle por uma combinação de motivos.
"O alvo recorrente na Colômbia provavelmente reflete múltiplos fatores, sendo um dos principais as vulnerabilidades estruturais e o nível desigual de maturidade em segurança em parte da infraestrutura crítica, pública, financeira e do setor privado do país", afirmou o pesquisador de segurança da Zenox, Gabriel Alves.
"Essas condições podem aumentar a probabilidade de comprometimentos bem-sucedidos e oferecer mais oportunidades para monetizar o acesso, roubar dados ou recursos financeiros, ou reutilizar credenciais comprometidas contra sistemas críticos. Isso é reforçado pela familiaridade de atores regionais com o contexto colombiano e é consistente com padrões observados entre atores de ameaça latino-americanos."
(A reportagem foi atualizada após a publicação para incluir informações adicionais da Zenox.)
