Blind Eagle, Sahte Mahkeme Bildirimleriyle Latin Amerika’da Uzaktan Erişim Truvası Dağıtıyor

Blind Eagle, Sahte Mahkeme Bildirimleriyle Latin Amerika’da Uzaktan Erişim Truvası Dağıtıyor

Blind Eagle adlı tehdit aktörü, Latin Amerika’daki kuruluşları hedef alan yeni bir kampanya ile yeniden ortaya çıktı. Bu kampanya, AsyncRAT ve DCRat ile aynı kökenden gelen bir uzaktan erişim truva atı (RAT) dağıtmak için yargısal ve idari temalı kimlik avı yemleri kullanıyor.

Zenox tarafından The Hacker News ile paylaşılan bir rapora göre, “Kampanya, mahkeme bildirimleri, savcılık duyuruları, tutela işlemleri ve idari belgelere benzeyen Portekizce ve İspanyolca yemler kullanıyor.”

2018’den beri aktif olan ve İspanyolca konuşan bir grup olduğu düşünülen Blind Eagle (diğer adıyla APT-C-36), ticari RAT’ları dağıtmak için hedefli kimlik avı yemleri kullanma konusunda geçmişe sahip. Bu RAT’lar arasında AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT ve Remcos RAT bulunuyor.

Saldırı Zinciri Nasıl İşliyor?

Saldırı zincirleri, davaları, sözleşmeleri, yargısal veya kurumsal hizmet taleplerini ele alan kişileri hedef alan kimlik avı e-postalarıyla başlıyor. Bu e-postalar, kurbanları kötü amaçlı yazılım içeren bir eki açmaya ikna etmeyi amaçlıyor.

Kolombiya yargı temalı bir XHTML dosyası içeren bir e-posta, Kolombiya Başsavcılığı olarak da bilinen Fiscalía General de la Nación’u taklit eden sahte bir web sayfası oluşturan silahlandırılmış bir Ölçeklenebilir Vektör Grafikleri (SVG) görüntüsü olarak tanımlandı.

Web sayfası ise, bir sonraki aşama ZIP arşivi yükünü web tarayıcısında ZipCrypto kullanarak yerel olarak bir araya getirmek için HTML kaçakçılığı olarak bilinen bir teknik kullanıyor. Bu yöntem, e-posta güvenlik kontrollerini atlatmayı sağlıyor.

Kötü Amaçlı Yazılımın Dağıtımı ve Çalışması

ZIP arşivinde, Ağ Yapılandırma Denetçisi sürüm 2.7.298 olarak gizlenen bir JavaScript dropper bulunuyor. JavaScript kodu, sistem sürümü, ağ profili, kurulum tarihi, bellek boyutu, bilgisayar adı, ortam değişkenleri ve Portekizce ve İspanyolca yerelleştirilmiş dizinler gibi ayrıntıları toplayarak ortam keşfi yapıyor.

Yürütüldüğünde, Windows Kötü Amaçlı Yazılımdan Koruma Tarama Arayüzü (AMSI) ve Windows için Olay İzleme (ETW) atlatmasını gerçekleştiren bir Visual Basic Script başlatılıyor. Bu sırada, dikkat dağıtma mekanizması olarak sahte bir ceza davası sayfası görüntüleniyor.

Paralel olarak, kötü amaçlı yazılım orijinal XHTML yapıtını siliyor, Web İşareti (MotW) meta verilerini temizliyor ve sistem başlangıcında otomatik olarak yürütülmesi için Windows Başlangıç klasöründe ana bilgisayarda kalıcılık oluşturmak için adımlar atıyor.

Saldırı, son RAT yükünü bellekte çözmek ve başlatmak için PowerShell kullanımıyla sona eriyor. Truva atı, kod yapısı, yapılandırma, derleme özellikleri ve gözlemlenen davranışa dayanarak DCRat soyundan gelen bir AsyncRAT çatalıdır.

Hedefler ve Motivasyonlar

Zenox, “Yargı, mali, idari ve eğitim kuruluşlarının hedeflenmesi, operasyona son derece hassas yasal, finansal ve kurumsal bilgilere erişim sağlıyor” dedi.

“Portekizce ve İspanyolca yemler, Brezilya altyapısı, operasyonel zaman dilimi ve bölgesel mağduriyetle birleştiğinde, bu unsurlar kampanyayı bir Brezilya operasyonel kümesi aracılığıyla yürütülen bir APT-C-36 operasyonu olarak belirliyor.”

Zenox, The Hacker News’e bu saldırılardan herhangi birinin gerçek dünya hedeflerine karşı başarılı olup olmadığını doğrulayamadığını söyledi. Ancak, Ekim sonu ile Kasım 2026 başı arasındaki kampanya döneminde, yaklaşık 3.300 kötü amaçlı e-posta içeren büyük ölçekli bir hedefli kimlik avı dalgası gözlemledi.

Bu mesajların hepsi Kolombiya’daki kuruluşları hedef almasa da, ülke çeşitli nedenlerle Blind Eagle için öncelikli bir hedef olmaya devam ediyor.

Zenox güvenlik araştırmacısı Gabriel Alves, “Kolombiya’nın tekrar tekrar hedeflenmesi muhtemelen birden fazla faktörü yansıtıyor. Ana kolaylaştırıcı faktörlerden biri, ülkenin kritik, kamu, finans ve özel sektör altyapısının bazı bölgelerindeki yapısal güvenlik açıkları ve düzensiz güvenlik olgunluğu” dedi.

“Bu koşullar, başarılı ihlallerin olasılığını artırabilir ve erişimi paraya çevirmek, hassas verileri veya fonları çalmak veya ele geçirilmiş kimlik bilgilerini kritik sistemlere karşı yeniden kullanmak için daha büyük fırsatlar sunabilir. Bu durum, bölgesel aktörlerin Kolombiya bağlamına aşinalığıyla daha da destekleniyor ve Latin Amerikalı tehdit aktörleri arasında gözlemlenen kalıplarla tutarlıdır.”