Группа Blind Eagle, известная также как APT-C-36, рассылает организациям Латинской Америки фишинговые письма на испанском и португальском языках. Их выдают за судебные извещения, сообщения прокуратуры, документы по процедуре tutela и административные уведомления. Вложения ведут к трояну удалённого доступа — по оценке исследователей Zenox, это вариант AsyncRAT с наследием DCRat. Zenox передала свой отчёт изданию The Hacker News.
Испаноязычная группа действует как минимум с 2018 года. Для целевых атак она прежде применяла готовые трояны AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT и Remcos RAT. Новая кампания продолжает знакомую тактику: письма адресуют сотрудникам, работающим с делами, договорами, судебными вопросами и запросами на услуги учреждений.
В одном из изученных случаев письмо содержало XHTML-файл с оформлением под судебное уведомление из Колумбии. Внутри находилось вредоносное изображение SVG, которое показывало поддельную страницу от имени Генеральной прокуратуры Колумбии, Fiscalía General de la Nación, также известной как Office of the Attorney General. Страница собирала ZIP-архив прямо в браузере жертвы с помощью HTML smuggling. Архив использовал ZipCrypto — упаковку, призванную обходить почтовые средства защиты.
В ZIP лежал JavaScript-загрузчик, замаскированный под Network Configuration Auditor версии 2.7.298. Перед дальнейшими действиями скрипт собирал сведения о системе: версию Windows, сетевой профиль, дату установки, объём памяти, имя компьютера, переменные среды, а также названия каталогов на португальском и испанском языках.
После запуска загрузчик вызывал VBScript. Тот обходил Windows Antimalware Scan Interface (AMSI) и Event Tracing for Windows (ETW), а на экране открывал фальшивую страницу с криминальным уведомлением, отвлекая пользователя. Вредоносная цепочка также удаляла исходный XHTML-файл, стирала метку Mark of the Web (MotW) и закреплялась в папке автозагрузки Windows.
Финальную полезную нагрузку PowerShell декодировал и запускал в памяти. По оценке Zenox, принадлежность трояна к семейству AsyncRAT и его связь с DCRat подтверждаются структурой кода, конфигурацией, особенностями сборки и наблюдаемым поведением.
Целями кампании стали судебные, налоговые, административные и образовательные учреждения. Доступ к их системам может открыть злоумышленникам юридические, финансовые и внутренние институциональные данные. Zenox связала операцию с APT-C-36 и описала её как деятельность бразильского операционного кластера. В пользу этой версии говорят языки приманок, бразильская инфраструктура, часовой пояс операций и состав жертв.
Успешные ли были взломы, Zenox подтвердить не смогла. С конца октября по начало ноября 2026 года исследователи зафиксировали крупную волну целевого фишинга — почти 3 300 вредоносных писем. При этом не все сообщения были адресованы колумбийским организациям.
Колумбия, по словам исследователя Zenox Габриэля Алвеса, остаётся приоритетной целью Blind Eagle. Повторные атаки могут быть связаны со структурными уязвимостями и неодинаковым уровнем защиты критически важных, государственных, финансовых и частных организаций страны. Такие условия повышают шансы на проникновение и дают возможность монетизировать доступ, похищать данные или деньги, а также использовать украденные учётные данные для доступа к критическим системам. Алвес добавил, что региональным группам проще ориентироваться в колумбийском контексте; подобный рисунок атак характерен и для других злоумышленников из Латинской Америки.
После публикации материала в отчёт добавили дополнительные сведения от Zenox.
Изображение носит иллюстративный характер
Испаноязычная группа действует как минимум с 2018 года. Для целевых атак она прежде применяла готовые трояны AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT и Remcos RAT. Новая кампания продолжает знакомую тактику: письма адресуют сотрудникам, работающим с делами, договорами, судебными вопросами и запросами на услуги учреждений.
В одном из изученных случаев письмо содержало XHTML-файл с оформлением под судебное уведомление из Колумбии. Внутри находилось вредоносное изображение SVG, которое показывало поддельную страницу от имени Генеральной прокуратуры Колумбии, Fiscalía General de la Nación, также известной как Office of the Attorney General. Страница собирала ZIP-архив прямо в браузере жертвы с помощью HTML smuggling. Архив использовал ZipCrypto — упаковку, призванную обходить почтовые средства защиты.
В ZIP лежал JavaScript-загрузчик, замаскированный под Network Configuration Auditor версии 2.7.298. Перед дальнейшими действиями скрипт собирал сведения о системе: версию Windows, сетевой профиль, дату установки, объём памяти, имя компьютера, переменные среды, а также названия каталогов на португальском и испанском языках.
После запуска загрузчик вызывал VBScript. Тот обходил Windows Antimalware Scan Interface (AMSI) и Event Tracing for Windows (ETW), а на экране открывал фальшивую страницу с криминальным уведомлением, отвлекая пользователя. Вредоносная цепочка также удаляла исходный XHTML-файл, стирала метку Mark of the Web (MotW) и закреплялась в папке автозагрузки Windows.
Финальную полезную нагрузку PowerShell декодировал и запускал в памяти. По оценке Zenox, принадлежность трояна к семейству AsyncRAT и его связь с DCRat подтверждаются структурой кода, конфигурацией, особенностями сборки и наблюдаемым поведением.
Целями кампании стали судебные, налоговые, административные и образовательные учреждения. Доступ к их системам может открыть злоумышленникам юридические, финансовые и внутренние институциональные данные. Zenox связала операцию с APT-C-36 и описала её как деятельность бразильского операционного кластера. В пользу этой версии говорят языки приманок, бразильская инфраструктура, часовой пояс операций и состав жертв.
Успешные ли были взломы, Zenox подтвердить не смогла. С конца октября по начало ноября 2026 года исследователи зафиксировали крупную волну целевого фишинга — почти 3 300 вредоносных писем. При этом не все сообщения были адресованы колумбийским организациям.
Колумбия, по словам исследователя Zenox Габриэля Алвеса, остаётся приоритетной целью Blind Eagle. Повторные атаки могут быть связаны со структурными уязвимостями и неодинаковым уровнем защиты критически важных, государственных, финансовых и частных организаций страны. Такие условия повышают шансы на проникновение и дают возможность монетизировать доступ, похищать данные или деньги, а также использовать украденные учётные данные для доступа к критическим системам. Алвес добавил, что региональным группам проще ориентироваться в колумбийском контексте; подобный рисунок атак характерен и для других злоумышленников из Латинской Америки.
После публикации материала в отчёт добавили дополнительные сведения от Zenox.
