Blind Eagle usa e-mails falsos com anexos SVG para roubar dados na América Latina

Um grupo cibercriminoso conhecido como Blind Eagle intensificou ataques contra países da América Latina, utilizando e-mails falsos que se passam por notificações judiciais administrativas. O objetivo é instalar softwares maliciosos capazes de monitorar vítimas e roubar dados sensíveis. A análise técnica, publicada pela empresa de cibersegurança Zenox, monitorou cerca de 3.300 e-mails fraudulentos disparados entre o fim de outubro e o início de novembro.

A estratégia do golpe

O ataque se inicia com o recebimento de um e-mail contendo um arquivo anexado que simula uma certidão ou despacho judicial. Ao abrir o documento no navegador, a vítima é direcionada a uma página falsa que imita órgãos governamentais reais, como a procuradoria geral da Colômbia. A mensagem utiliza linguagem formal e um anexo em formato XHTML, combinando autoridade e urgência para induzir a vítima a prosseguir.

Em seguida, é empregada a técnica de "contrabando de HTML". O arquivo gera localmente um pacote compactado em formato ZIP dentro do navegador do usuário. Essa abordagem contorna filtros de e-mail que geralmente bloqueiam apenas anexos executáveis diretos.

Instalação de software malicioso

Dentro do ZIP falso, um script disfarçado de software de auditoria de rede é executado. Assim que ativado pela vítima, o programa realiza uma varredura silenciosa no computador, coletando informações do sistema operacional, memória e pastas locais em português e espanhol. O código malicioso também desativa defesas nativas do Windows, apaga rastros de navegação e cria mecanismos para que o vírus seja ativado automaticamente ao ligar a máquina.

A infecção culmina na instalação de um "cavalo de Troia" de acesso remoto (RAT), que concede controle total da máquina ao invasor. O atacante pode registrar tudo o que é digitado, capturar telas e buscar arquivos confidenciais de cunho financeiro ou jurídico.

Indícios de atuação regional

A escolha de termos em português e espanhol, horários de operação alinhados ao fuso brasileiro e infraestrutura hospedada na América do Sul sugerem que a operação é conduzida por um grupo de hackers regional, associado historicamente ao grupo P-C-36. As páginas observadas funcionam como um estágio de "isca", onde a execução controlada confirmou a geração do ZIP, mas não necessariamente o download de um documento judicial real ou a aceitação por um sistema legítimo.

Especialistas em segurança digital reforçam que a prevenção envolve desconfiar de qualquer comunicação oficial recebida de forma inesperada, especialmente arquivos anexados que abrem páginas no navegador em vez de documentos tradicionais como PDF ou editores de texto.