Wprowadzenie do problemu / definicja
Grupa Blind Eagle, znana również jako APT-C-36, została powiązana z nową kampanią phishingową wymierzoną w organizacje działające w Ameryce Łacińskiej. Atak bazuje na fałszywych wezwaniach sądowych, zawiadomieniach administracyjnych i dokumentach urzędowych, których celem jest skłonienie odbiorcy do uruchomienia wieloetapowego łańcucha infekcji zakończonego instalacją trojana zdalnego dostępu.
Zagrożenie jest szczególnie istotne, ponieważ łączy precyzyjnie przygotowaną socjotechnikę z technikami utrudniającymi wykrycie na poziomie poczty elektronicznej, przeglądarki i systemu Windows. Tego typu kampanie pokazują, że nawet pozornie standardowa wiadomość e-mail może stanowić punkt wejścia do pełnoskalowej kompromitacji stacji roboczej.
W skrócie
- Blind Eagle prowadzi kampanię spear-phishingową z wykorzystaniem fałszywych dokumentów sądowych i administracyjnych.
- Łańcuch ataku obejmuje pliki XHTML i SVG, technikę HTML smuggling, archiwum ZIP oraz kolejne etapy uruchamiane przez JavaScript, VBS i PowerShell.
- Końcowym ładunkiem jest wariant trojana zdalnego dostępu powiązany z rodzinami AsyncRAT i DCRat.
- Najbardziej narażone są organizacje z Kolumbii oraz inne podmioty z regionu Ameryki Łacińskiej obsługujące formalną dokumentację.
Kontekst / historia
Blind Eagle to hiszpańskojęzyczny aktor zagrożeń aktywny od co najmniej 2018 roku. Grupa od lat specjalizuje się w phishingu i dystrybucji popularnych narzędzi zdalnego dostępu, wykorzystując regionalnie dopasowane przynęty oraz tematykę związaną z lokalnymi procedurami urzędowymi, prawnymi i finansowymi.
W najnowszej odsłonie operatorzy kampanii przygotowali wiadomości przypominające autentyczną korespondencję od organów państwowych. W praktyce oznacza to wykorzystanie tematów, które wywołują presję czasu i silną reakcję emocjonalną, takich jak wezwania procesowe, postępowania ochrony prawnej czy zawiadomienia o działaniach administracyjnych.
Analiza techniczna
Atak rozpoczyna się od wiadomości phishingowej zawierającej złośliwy załącznik. W jednym ze scenariuszy jest to plik XHTML o tematyce sądowej, który działa jako kontener dla osadzonej zawartości SVG. Po otwarciu ofiara widzi stronę podszywającą się pod oficjalny podmiot publiczny, co zwiększa wiarygodność całej operacji.
Kluczowym elementem kampanii jest zastosowanie HTML smuggling. Zamiast przesyłać gotowy plik malware bezpośrednio w wiadomości, atakujący rekonstruują kolejny etap lokalnie po stronie przeglądarki ofiary. Dzięki temu archiwum ZIP powstaje już na urządzeniu użytkownika, co utrudnia jego wcześniejsze wykrycie przez klasyczne bramki pocztowe i część narzędzi bezpieczeństwa.
W wygenerowanym archiwum ZIP znajduje się dropper JavaScript podszywający się pod legalne narzędzie. Skrypt przeprowadza rekonesans środowiska, zbierając informacje o systemie operacyjnym, konfiguracji hosta, parametrach pamięci, profilu sieciowym, nazwie komputera oraz katalogach charakterystycznych dla systemów używanych przez odbiorców posługujących się językiem hiszpańskim i portugalskim.
Następnie wykonywany jest skrypt VBS odpowiedzialny za obchodzenie mechanizmów AMSI i ETW. Tego typu działania ograniczają widoczność złośliwych operacji dla narzędzi ochronnych i telemetrycznych, a równocześnie ofiara może zobaczyć fałszywą stronę z rzekomym wezwaniem lub zawiadomieniem, co odwraca uwagę od rzeczywistej aktywności malware.
Kolejne etapy obejmują usunięcie pierwotnego artefaktu XHTML, wyczyszczenie znaczników Mark of the Web oraz ustanowienie trwałości w folderze autostartu systemu Windows. Ostatecznie PowerShell dekoduje i uruchamia ładunek bezpośrednio w pamięci, co dodatkowo utrudnia analizę i detekcję. Badacze wskazują, że końcowe malware to fork AsyncRAT wykazujący silne podobieństwo do DCRat.
Konsekwencje / ryzyko
Skuteczne uruchomienie takiego łańcucha infekcji może doprowadzić do pełnego przejęcia stacji roboczej. W praktyce oznacza to możliwość kradzieży danych, przechwycenia poświadczeń, monitorowania aktywności użytkownika, wykonywania poleceń zdalnych oraz przygotowania gruntu pod dalszy ruch boczny w sieci organizacji.
Szczególnie zagrożone są instytucje obsługujące dokumentację prawną, administracyjną i finansową, w tym podmioty publiczne, kancelarie, placówki edukacyjne oraz organizacje realizujące procesy formalne na dużą skalę. Ryzyko zwiększa zastosowanie technik utrudniających detekcję, takich jak HTML smuggling, obejścia AMSI i ETW, usuwanie Mark of the Web oraz pamięciowe uruchamianie końcowego ładunku.
Rekomendacje
Organizacje powinny wdrożyć wielowarstwowe podejście do ochrony przed phishingiem i atakami skryptowymi. Oznacza to zarówno lepsze filtrowanie poczty, jak i kontrolę wykonywania skryptów oraz monitorowanie zachowań na stacjach końcowych.
- wzmocnienie filtrowania wiadomości z załącznikami XHTML, SVG, ZIP oraz plikami skryptowymi,
- ograniczenie uruchamiania JavaScript, VBS i PowerShell w kontekście użytkownika tam, gdzie nie są one wymagane biznesowo,
- monitorowanie prób obejścia AMSI i ETW oraz czyszczenia znaczników Mark of the Web,
- wykrywanie nietypowych operacji związanych z tworzeniem archiwów ZIP z poziomu przeglądarki,
- blokowanie lub kontrolowanie trwałości opartej o folder Startup,
- stosowanie AppLocker, WDAC oraz rozwiązań EDR lub XDR,
- wdrożenie segmentacji sieci, ochrony kont uprzywilejowanych i uwierzytelniania wieloskładnikowego,
- regularne szkolenia dla działów prawnych, administracyjnych, zakupowych i obsługi korespondencji.
W praktyce równie ważna jak technologia pozostaje świadomość użytkowników. Pracownicy muszą umieć rozpoznać wiadomości odwołujące się do pilnych spraw formalnych, zwłaszcza jeśli zawierają nietypowe załączniki lub wymuszają szybkie otwarcie dokumentu.
Podsumowanie
Najnowsza kampania Blind Eagle potwierdza, że skuteczny phishing nie musi opierać się na skomplikowanych exploitach, jeśli atakujący umiejętnie łączą wiarygodną przynętę z technikami omijania zabezpieczeń. Fałszywe wezwania sądowe, HTML smuggling, obejścia mechanizmów ochronnych Windows i pamięciowe uruchamianie RAT tworzą łańcuch, który może ominąć wiele standardowych kontroli bezpieczeństwa.
Dla organizacji działających w Ameryce Łacińskiej jest to wyraźny sygnał ostrzegawczy, ale wnioski z tej kampanii mają znaczenie globalne. Każda firma lub instytucja przetwarzająca dokumentację formalną powinna przeanalizować swoją odporność na phishing, polityki wykonywania skryptów oraz zdolność do wykrywania nietypowych zachowań na punktach końcowych.
Źródła
- The Hacker News — Blind Eagle Uses Fake Court Notices to Deliver Remote Access Trojan Across Latin America
- Microsoft Learn — Antimalware Scan Interface (AMSI)
- Microsoft Learn — Event Tracing for Windows (ETW)
- Cloudflare — What is HTML smuggling?
- CISA — Phishing Guidance: Stopping the Attack Cycle at Phase One