Skupina Blind Eagle, známá také jako APT-C-36, se znovu připomíná novou phishingovou kampaní. Podle bezpečnostních analytiků jde o španělsky mluvící skupinu, která je aktivní nejméně od roku 2018 a dlouhodobě se spoléhá na cílené e-maily, jejichž prostřednictvím šíří běžně dostupné trojany pro vzdálený přístup, například AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT nebo Remcos RAT.
Aktuální kampaň popsali výzkumníci ze společnosti Zenox. Útočníci používají portugalské a španělské návnady, které připomínají soudní oznámení, sdělení státního zastupitelství, řízení o ústavní stížnosti (tutela) či různé úřední dokumenty. Zaměřují se na lidi, kteří ve své práci vyřizují spisy, smlouvy, soudní záležitosti nebo žádosti institucí. V jednom z e-mailů se nacházel soubor XHTML s kolumbijskou soudní tematikou, který byl ve skutečnosti upraveným obrázkem SVG. Po otevření zobrazil podvodnou stránku napodobující kolumbijský Úřad generálního prokurátora (Fiscalía General de la Nación).
Jak útok probíhá
Stránka SVG využívá techniku HTML smuggling, díky níž se archiv ZIP šifrovaný metodou ZipCrypto poskládá až přímo v prohlížeči, a obejde tak bezpečnostní kontroly e-mailu. Uvnitř archivu je dropper v JavaScriptu, který se vydává za nástroj „Network Configuration Auditor“ verze 2.7.298. Ten nejprve zmapuje systém, tedy zjistí verzi operačního systému, síťový profil, datum instalace, velikost paměti, název počítače, proměnné prostředí a lokalizované adresáře. Následně spustí skript VBScript, který obchází ochrany AMSI a ETW, zatímco oběti pro odvedení pozornosti zobrazí falešné trestní předvolání.
Malware pak smaže původní soubor XHTML, odstraní metadata Mark of the Web a zajistí si trvalou přítomnost ve složce Po spuštění systému Windows. Nakonec PowerShell dekóduje finální RAT a spustí jej přímo v paměti. Podle struktury kódu, konfigurace a chování jde o odnož AsyncRAT s kořeny v DCRat. Umí zkoumat prostředí, sbírat dokumenty, zaznamenávat stisky kláves a obrazovku, sledovat oběť a šifrovaně odesílat data. Výzkumníci zatím nenašli důkazy o úspěšném napadení skutečných cílů.
Zaměření na soudní, finanční, správní a vzdělávací instituce podle Zenoxu dává útočníkům přístup k mimořádně citlivým informacím. Portugalské a španělské návnady, brazilská infrastruktura, časové pásmo aktivity a regionální výběr obětí podle firmy ukazují, že kampaň vede APT-C-36 prostřednictvím „brazilského operačního klastru“.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
