Grupo Blind Eagle usa e-mails falsos com SVG para roubar dados na América Latina

Um grupo cibercriminoso conhecido como Blind Eagle intensificou ataques contra países da América Latina, utilizando mensagens falsas que simulam notificações judiciais administrativas. O objetivo é a instalação de softwares maliciosos capazes de monitorar vítimas e roubar dados sensíveis. Uma análise técnica da empresa de cibersegurança Zenox monitorou cerca de 3.300 e-mails fraudulentos disparados entre o fim de outubro e o início de novembro.

A estratégia do golpe envolve o envio de e-mails com arquivos anexados em formatos pouco convencionais, como imagens vetoriais interativas (SVG). Ao abrir o documento no navegador, a vítima se depara com uma página falsa que imita órgãos governamentais reais, como a procuradoria geral da Colômbia. A mensagem, com linguagem formal e referência de caso, alega a emissão de uma decisão judicial disponível em um sistema de gestão.

O contrabando de HTML e a instalação do malware

Após a interação com a página falsa, ocorre uma técnica chamada de contrabando de HTML. O arquivo gera localmente um pacote compactado em formato ZIP dentro do navegador do usuário. Este método é eficaz para burlar filtros de e-mail que geralmente bloqueiam apenas anexos executáveis diretos.

Dentro do ZIP falso, um script disfarçado de software de auditoria de rede é executado. Assim que ativado, o programa realiza uma varredura silenciosa no computador, coletando informações do sistema operacional, memória e pastas locais em português e espanhol. O código malicioso também desativa defesas nativas do Windows, limpa rastros de navegação e cria mecanismos para que o vírus seja ativado automaticamente ao ligar a máquina.

O impacto do roubo de dados e a atuação regional

A infecção culmina na instalação de um cavalo de Troia de acesso remoto (RAT), que concede controle total da máquina ao invasor. Com ele, é possível registrar tudo o que é digitado, capturar telas e buscar arquivos confidenciais de cunho financeiro ou jurídico.

A escolha de termos em português e espanhol, horários de operação alinhados ao fuso brasileiro e infraestrutura hospedada na América do Sul sugerem que a operação é conduzida por um cluster (quadrilha de hackers) de atuação regional, associado historicamente ao grupo P-C-36. As páginas observadas funcionam como conteúdo de entrega ou estágio de isca, progredindo para o próximo estágio sem necessariamente baixar um documento judicial real ou que a chave seja aceita por um sistema legítimo.

Prevenção contra ataques cibernéticos

Especialistas em segurança digital reforçam que a prevenção envolve desconfiar de qualquer comunicação oficial recebida de forma inesperada, especialmente arquivos anexados que abram páginas no navegador em vez de documentos tradicionais como PDF ou editores de texto. A análise técnica foi publicada em 4 de novembro pela empresa de cibersegurança Zenox.