De APT-groep Blind Eagle gebruikt phishing met valse gerechtelijke documenten om een Remote Access Trojan te verspreiden in Latijns-Amerika.
De bedreigingsactor Blind Eagle is terug met een nieuwe campagne gericht op organisaties in Latijns-Amerika. Hierbij worden phishingmails verstuurd met valse gerechtelijke en administratieve berichten in het Portugees en Spaans, die een Remote Access Trojan (RAT) verspreiden. Deze RAT vertoont kenmerken van AsyncRAT en DCRat.
De campagne maakt gebruik van e-mails die lijken op officiële kennisgevingen van rechtbanken, tutela procedures, fiscale instanties en administratieve documenten. De aanvallen richten zich op personen die betrokken zijn bij juridische zaken, contracten en institutionele verzoeken, met als doel hen te verleiden een kwaadaardige bijlage te openen. Een van de e-mails bevat een Colombiaans gerechtelijk thema in de vorm van een weaponized Scalable Vector Graphics (SVG) afbeelding die een valse webpagina nabootst van de Colombiaanse Fiscalía General de la Nación, het Openbaar Ministerie.
Deze webpagina gebruikt HTML smuggling om lokaal in de browser een ZIP-bestand samen te stellen, waarmee e-mailbeveiliging wordt omzeild. In het ZIP-bestand zit een JavaScript dropper die zich voordoet als Network Configuration Auditor versie 2.7.298. Dit script verzamelt systeeminformatie en voert een Visual Basic Script uit dat de Windows Antimalware Scan Interface (AMSI) en Event Tracing for Windows (ETW) omzeilt. Tegelijkertijd toont het een valse strafrechtelijke kennisgeving om afleiding te creëren.
Daarnaast verwijdert de malware het oorspronkelijke XHTML-bestand, wist Mark of the Web metadata en zet persistente aanwezigheid op door zichzelf in de Windows Startup-map te plaatsen. De aanval wordt afgerond met een PowerShell-script dat de uiteindelijke RAT in het geheugen decodeert en uitvoert. De trojan is een AsyncRAT-variant met kenmerken van DCRat, gebaseerd op code, configuratie en gedrag.
Hoewel er geen bewijs is dat deze campagne succesvol is geweest bij echte slachtoffers, kan een geslaagde infectie leiden tot uitgebreide verkenning van het systeem, het verzamelen van documenten, remote toegang, het vastleggen van toetsaanslagen en schermen, surveillance en het exfiltreren van data via een versleuteld kanaal. De focus op juridische, fiscale, administratieve en educatieve organisaties geeft de aanvallers toegang tot gevoelige informatie met een hoge waarde.
