El grupo Blind Eagle, también conocido como APT-C-36, lanzó una nueva campaña de correos fraudulentos contra organizaciones de Latinoamérica. Los mensajes imitan notificaciones judiciales, avisos de la Fiscalía, acciones de tutela y documentos administrativos en español y portugués. El objetivo es instalar un troyano de acceso remoto (RAT, un programa que da al atacante control del equipo) para robar información legal, financiera e institucional.
Según el informe de Zenox, la campaña se dirige a personas que gestionan casos, contratos, trámites judiciales o solicitudes institucionales. Entre finales de octubre y comienzos de noviembre, los investigadores observaron cerca de 3.300 correos maliciosos. Colombia sigue como objetivo prioritario, aunque no todos los mensajes apuntaron al país. Los sectores afectados son judicial, fiscal, administrativo y educativo. Zenox no pudo confirmar si algún ataque tuvo éxito.
La cadena de infección empieza con un adjunto XHTML que en realidad es una imagen SVG (formato gráfico que puede contener código). Al abrirse, muestra una página falsa de la Fiscalía General de la Nación. Esa página usa HTML smuggling: arma el archivo malicioso dentro del navegador de la víctima para evadir los filtros del correo. El resultado es un ZIP cifrado con un script JavaScript que se hace pasar por “Network Configuration Auditor 2.7.298”.
El script recopila datos del equipo: versión del sistema, perfil de red, memoria, nombre del equipo y variables de entorno. Luego ejecuta un script en Visual Basic que desactiva AMSI y ETW, dos mecanismos de Windows que permiten al antivirus inspeccionar scripts y registrar eventos. Mientras tanto, muestra una citación penal falsa como distracción. El malware borra el archivo original y elimina la marca MotW, la etiqueta que Windows asigna a los archivos descargados de internet. También se instala en la carpeta de Inicio de Windows para ejecutarse en cada arranque.
En la etapa final, PowerShell decodifica y ejecuta el troyano directamente en memoria, sin dejar un archivo fácil de detectar en disco. El RAT es una variante de AsyncRAT con rasgos de DCRat. No hay un parche que corregir, porque el ataque explota la confianza del usuario. Las mitigaciones útiles son: bloquear o poner en cuarentena adjuntos SVG, XHTML, HTML y JS en el correo, y restringir la ejecución de scripts de Windows Script Host. Conviene también vigilar la carpeta de Inicio, registrar la actividad de PowerShell y alertar cuando AMSI o ETW se desactiven.
Qué significa para tu empresa: si tu equipo jurídico, contable o de contratación recibe notificaciones judiciales por correo, es un blanco directo de esta campaña. Esta semana revisa que tu protección del correo analice adjuntos SVG y HTML en un entorno aislado y bloquee los tipos de archivo que no usa tu operación. Recuerda a esas áreas una regla simple: la Fiscalía y los juzgados no envían citaciones como imágenes ni archivos comprimidos que deban ejecutarse.
Fuente original: The Hacker News — ver artículo →