Группа Blind Eagle рассылает фишинг с поддельными судебными уведомлениями в Латинской Америке
Группировка Blind Eagle, известная также как APT-C-36, возобновила кампанию против организаций Латинской Америки. Злоумышленники рассылают фишинговые письма с поддельными судебными извещениями, которые ведут к трояну удалённого доступа на базе AsyncRAT и DCRat.
Главное в цифрах
- Группа активна с 2018 года
- Заражённые письма и успешные взломы: по данным исследователей, успешных атак пока не зафиксировано
Письма имитируют судебные извещения, уведомления фискалии и административные документы на португальском и испанском языках. Во вложении находится XHTML-файл в формате SVG, который открывает поддельную страницу, копирующую сайт Генеральной прокуратуры Колумбии. Страница собирает ZIP-архив прямо в браузере, что позволяет обойти почтовые фильтры.
Архив содержит JavaScript-загрузчик, который собирает данные о системе и отключает защитные механизмы Windows. Затем он закрепляется в автозагрузке и запускает финальный троян через PowerShell прямо в памяти. По данным исследователей, троян представляет собой форк AsyncRAT с признаками DCRat.
Возможные последствия
По данным исследователей, успешных взломов пока не зафиксировано. Однако в случае компрометации троян позволяет похищать документы, перехватывать нажатия клавиш и снимки экрана, а также передавать данные за пределы сети.
Атакуются судебные и образовательные учреждения, что открывает доступ к конфиденциальной правовой и финансовой информации. По оценке исследователей, кампания проводится через бразильский операционный кластер группы.
