Blind Eagle phishing is opnieuw opgedoken met een campagne die organisaties in Latijns-Amerika probeert te bereiken via berichten die lijken op officiële gerechtelijke en administratieve documenten. Het doel is het afleveren van een remote access trojan (RAT) die verwant is aan bekende varianten zoals AsyncRAT en DCRat.
Hoewel er volgens de beschikbare informatie geen harde aanwijzingen zijn dat dit al tot echte compromittering bij doelwitten heeft geleid, is de opzet duidelijk: misleiding via e-mailbijlagen, daarna een technische keten om beveiligingscontroles te omzeilen en uiteindelijk remote toegang op Windows-systemen te activeren.
Wat is Blind Eagle phishing en waarom valt het op?
De dreigingsactor achter deze activiteit wordt geïdentificeerd als Blind Eagle (ook bekend als APT-C-36). De groep wordt sinds 2018 als actief beschouwd en richt zich in deze campagne op Spaanse en Portugese ontvangers. Dat vertaalt zich in phishinglures die sterk lijken op wat mensen in juridische, fiscale en administratieve processen verwachten.
De gebruikte thema’s omvatten onder meer court notifications, berichten van het relevante fiscale orgaan, tutela-procedures en andere administratieve documenten. De insteek is spear-phishing: e-mails worden niet lukraak verstuurd, maar gericht op personen die betrokken zijn bij dossiers, contracten of instituties.
De aanvalsketen: van nepbericht tot payload in de browser
De start van de campagne draait om een e-mail met een bijlage die malware bevat. In meerdere gevallen gaat het om bestanden in web-achtige formaten. Een concreet voorbeeld dat is beschreven, betreft een Colombian judicial-themed XHTML-bestand dat als een bewapende (weaponized) SVG-afbeelding functioneert.
Die SVG geeft vervolgens een valse webpagina weer die de Colombiaanse Fiscalía General de la Nación moet imiteren. Door deze vermomming krijgt de ontvanger mogelijk het gevoel dat de inhoud authentiek is en dat er actie nodig is.
HTML smuggling om onderdelen lokaal op te bouwen
Een belangrijk onderdeel van de keten is de inzet van HTML smuggling. Daarbij wordt een volgende fase-payload niet volledig aan de buitenwereld “aangeleverd”, maar in de browser lokaal opgebouwd. In de beschreven aanpak wordt een ZIP-archief onderling samengesteld met behulp van ZipCrypto. Daarmee probeert de campagne e-mailbeveiliging en inspectie in te dammen, omdat de inhoud pas “tot leven komt” zodra de gebruiker het webachtige bestand opent.
Dropper, recon en verborgen voorbereiding
In het ZIP-archief zit een JavaScript-dropper die zich voordoet als een tool met een versienaam: Network Configuration Auditor version 2.7.298. De dropper doet vervolgens environment reconnaissance. Met andere woorden: het systeem wordt “uitgelezen” om te begrijpen wat er aan de andere kant draait.
Daarbij gaat het om informatie zoals systeemversie, netwerkprofiel, installatiedatum, geheugengrootte, computernaam, omgevingsvariabelen en maplocaties die gelokaliseerd zijn in het Portugees of Spaans. Zo kan de malware zijn gedrag beter afstemmen op de omgeving en mogelijke doelwitten.
Uitvoering op Windows: AMSI/ETW-bypass en afleiding
Na die recon-fase wordt een Visual Basic Script gestart. Dit script voert in de kern twee verdedigings-omzeilende stappen uit:
- het toepassen van een AMSI-bypass (Windows Antimalware Scan Interface), en
- het omzeilen van detectie via ETW (Event Tracing for Windows).
Tegelijkertijd wordt een fake criminal-citation page weergegeven als afleiding. Dat is strategisch: tijdens uitvoering ziet de gebruiker iets dat past bij het juridische thema van de lure, waardoor de kans stijgt dat de gebruiker verder klikt of het proces niet stopt.
Persistente toegang en sporen verminderen
De malware verwerkt ook sporen en zorgt voor doorlopende aanwezigheid op het apparaat. In de beschreven keten worden onder andere:
- het oorspronkelijke XHTML-bestand verwijderd,
- de Mark of the Web (MotW)-metadata gewist, en
- persistente uitvoering ingesteld in de Windows Startup-map, zodat het proces bij systeemstart opnieuw wordt geactiveerd.
Door MotW te wissen en het startmechanisme te misbruiken, wordt de kans kleiner dat beveiligingsmechanismen of gebruikers merken dat er iets mis is.
PowerShell als laatste schakel naar een AsyncRAT-achtige RAT
Het eindpunt van de campagne wordt bereikt met PowerShell. Daarmee wordt de uiteindelijke RAT-payload gedecodeerd en in het geheugen gestart. Dit type “in-memory” uitvoering helpt om traditionele scanmethoden te omzeilen, omdat er minder zichtbaar is als bestand op de schijf.
De trojan zelf wordt omschreven als een fork van AsyncRAT, met een code- en gedragslijn die terug te voeren is op DCRat. De beschrijving koppelt deze verwantschap aan zaken als code-opbouw, configuratie, bouwkenmerken en waargenomen gedrag.
Wat kan een geslaagde aanval opleveren?
In de beoordeling wordt vooral de potentiële impact geschetst als er wél een echte compromis plaatsvindt. Dan kan de malware onder meer:
- omgeving en systeemdetails verzamelen,
- documenten of andere gegevens verzamelen,
- remote access bieden,
- toegang geven tot keylogging en screen capture, en
- gegevens exfiltreren via een versleuteld kanaal.
Juist doordat de targeting op juridische, fiscale, administratieve en onderwijsgerelateerde organisaties ligt, kan de aanval toegang geven tot gevoelige juridische, financiële en institutionele informatie.
Extra aandacht: phishingthema’s en regionale context
Wat deze zaak extra urgent maakt voor securityteams, is de combinatie van technische technieken en menselijke misleiding. Blind Eagle phishing gebruikt Portugese en Spaanse lures met regionale herkenning, inclusief infrastructuur en tijdzonekenmerken die passen bij het regionale slachtofferprofiel.
Daarbovenop bevat de keten meerdere stappen die bedoeld zijn om inspectie te ontwijken: HTML smuggling, lokale opbouw van het archief, omzeilingsstappen voor defensiecomponenten en uiteindelijk geheugenuitvoering met PowerShell.
Praktische verdedigingspunten voor organisaties
Als u werkt met e-mailstromen, gebruikers die met dossiers of contracten werken en Windows-werkstations binnen uw organisatie, dan zijn dit logisch om te prioriteren:
- Verhoog herkenning van gerechtelijke/administratieve lures: behandel elk “officieel ogend” verzoek eerst als verdacht, zeker wanneer het via e-mailbijlagen binnenkomt.
- Beperk uitvoering van webachtige bijlagen waar dat kan, en controleer of werkplekken veilig zijn geconfigureerd tegen onbekende scripts.
- Focus op detectie van recon en anomalie: kijk naar verdachte PowerShell-gedragingen en sporen van persistente instellingen in Startup.
- Verbeter incidentrespons: omdat de eindfase in het geheugen kan draaien, zijn logging en monitoring essentieel om “wat er gebeurde” te reconstrueren.
Gerelateerd: patchvertraging en supply chain-risico’s
Naast phishing blijft de algemene dreiging in IT ook hangen rond vertragingen in patching en de manier waarop pakketten en ketens worden misbruikt. Als u wilt verdiepen in dat bredere patroon, lees dan ook:
- Dreiging en patchvertraging: Qubole supply chain misbruik
- Dreiging en patchvertraging in 2026: CISO Forum Summit
Conclusie
Blind Eagle phishing is geen “klassieke” spamaanpak, maar een campagne die juridische en administratieve thema’s inzet om gerichte ontvangers te misleiden. De technische uitvoering combineert bewapende webassets, lokaal opgebouwde payloads, verdedigingsomzeiling en geheugenuitvoering via PowerShell tot een RAT die op AsyncRAT-achtige wijze kan uitpakken.
Voor defenders betekent dit vooral: behandel officiële lures niet automatisch als legitiem, monitor op verdachte script- en PowerShell-activiteiten en zorg dat persistente mechanismen en in-memory gedrag vroeg opvallen.
Bron: https://thehackernews.com/2026/11/blind-eagle-uses-fake-court-notices-to.html
