Blind Eagle rozsyła fałszywe wezwania sądowe z trojanem zdalnego dostępu

Grupa Blind Eagle, znana też jako APT-C-36, prowadzi nową kampanię phishingową wymierzoną w organizacje w Ameryce Łacińskiej. Fałszywe zawiadomienia sądowe i pisma urzędowe dostarczają trojana zdalnego dostępu spokrewnionego z AsyncRAT i DCRat. Kampanię opisała firma Zenox.

Jeden z wykrytych e-maili zawierał plik XHTML, który w rzeczywistości jest obrazem SVG. Plik wyświetla fałszywą stronę kolumbijskiej prokuratury generalnej (Fiscalía General de la Nación). Strona techniką HTML smuggling składa archiwum ZIP bezpośrednio w przeglądarce, przez co omija zabezpieczenia poczty. W archiwum jest skrypt JavaScript podszywający się pod Network Configuration Auditor w wersji 2.7.298. Skrypt zbiera dane o komputerze i uruchamia skrypt Visual Basic. Ten omija mechanizmy AMSI i ETW w systemie Windows, a dla odwrócenia uwagi pokazuje fałszywe wezwanie w sprawie karnej.

Kogo dotyczy

Celem są osoby, które w organizacjach z Ameryki Łacińskiej obsługują sprawy, umowy oraz wnioski sądowe i urzędowe. Przynęty są napisane po portugalsku i hiszpańsku. Grupa działa od 2018 roku.