O threat actor conhecido como Blind Eagle voltou à atividade com uma nova campanha que mira organizações na América Latina. A operação usa iscas de phishing com temas judiciais e administrativos para distribuir um trojan de acesso remoto (RAT) relacionado ao AsyncRAT e ao DCRat.
“ A campanha usa iscas em português e espanhol que imitam notificações judiciais, comunicados de promotorias, processos de tutela e documentos administrativos”, informou a Zenox em um relatório citado pelo The Hacker News.
Considerado um grupo hispanófono ativo desde 2018, o Blind Eagle, também conhecido como APT-C-36, tem histórico de usar iscas de spear phishing para distribuir RATs de uso comum, como AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT e Remcos RAT.
As cadeias de ataque começam com e-mails de phishing direcionados a pessoas que lidam com processos, contratos, assuntos judiciais ou solicitações de serviços institucionais. O objetivo é induzi-las a abrir um anexo infectado com malware.
Uma mensagem com um arquivo XHTML de tema judicial colombiano foi identificada. O arquivo continha uma imagem SVG maliciosa que exibia uma página falsa, imitando a Fiscalía General de la Nación da Colômbia.
A página usa uma técnica conhecida como HTML smuggling para montar localmente, no navegador, um arquivo ZIP com o payload da etapa seguinte, protegido com ZipCrypto. Com isso, a campanha contorna os controles de segurança de e-mail.
Dentro do arquivo ZIP há um dropper em JavaScript disfarçado de Network Configuration Auditor, versão 2.7.298. O código faz o reconhecimento do ambiente e coleta informações como a versão do sistema, o perfil de rede, a data de instalação, a quantidade de memória, o nome do computador, as variáveis de ambiente e os diretórios localizados em português e espanhol.
Ao ser executado, o arquivo inicia um script em Visual Basic que contorna a interface antimalware do Windows (AMSI) e o rastreamento de eventos do Windows (ETW). Ao mesmo tempo, exibe uma página falsa de citação criminal para distrair a vítima.
Em paralelo, o malware apaga o arquivo XHTML original, remove os metadados da Marca da Web (MotW) e estabelece persistência no computador por meio da pasta Inicialização do Windows, para ser executado automaticamente quando o sistema iniciar.
O ataque termina com o uso do PowerShell para decodificar e executar em memória o payload do RAT. Com base na estrutura do código, na configuração, nas características de compilação e no comportamento observado, o trojan é uma variante do AsyncRAT com linhagem do DCRat.
Embora não haja evidências de que esses ataques tenham atingido alvos reais com sucesso, uma invasão bem-sucedida poderia permitir o reconhecimento do ambiente, a coleta de documentos, o acesso remoto, o registro de teclas digitadas, a captura de telas, a vigilância e a exfiltração de dados por um canal criptografado.
“O direcionamento a organizações judiciais, fiscais, administrativas e educacionais dá à operação acesso a informações jurídicas, financeiras e institucionais altamente sensíveis”, afirmou a Zenox.
“Em conjunto com as iscas em português e espanhol, a infraestrutura brasileira, o fuso horário das operações e o perfil regional das vítimas, esses elementos caracterizam a campanha como uma operação do APT-C-36 conduzida por meio de um cluster operacional brasileiro.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...