Blind Eagle colpisce l’America Latina: phishing “giudiziario” installa AsyncRAT con HTML smuggling e bypass AMSI/ETW

Il gruppo di minaccia Blind Eagle è tornato attivo con una campagna di phishing mirato che colpisce organizzazioni in America Latina usando esche a tema giudiziario e amministrativo. I messaggi, scritti in spagnolo e portoghese, imitano comunicazioni ufficiali come notifiche di tribunale, avvisi della procura, pratiche tutela e documenti legati a richieste istituzionali.

Il bersaglio tipico è composto da persone che gestiscono fascicoli, contratti e pratiche legali, un contesto in cui la pressione e l’urgenza possono aumentare la probabilità di aprire allegati sospetti.

Il vettore iniziale è una email di spear phishing con un allegato progettato per apparire legittimo. In un caso osservato, l’allegato è un file XHTML che incorpora un contenuto SVG armato, capace di mostrare una pagina web falsa che impersona un ente reale. Questa pagina non si limita a ingannare l’utente, ma utilizza anche una tecnica nota come HTML smuggling per generare localmente nel browser il payload successivo. In pratica, invece di scaricare direttamente un file malevolo facilmente intercettabile dai controlli di sicurezza email, il contenuto viene assemblato sul dispositivo della vittima, creando un archivio ZIP in modo dinamico e riducendo la visibilità dei sistemi di difesa.

All’interno dello ZIP è presente un dropper JavaScript camuffato da strumento tecnico, ad esempio un auditor di configurazione di rete. Prima di procedere, lo script effettua una fase di ricognizione raccogliendo informazioni sull’ambiente Windows, come versione del sistema, profilo di rete, data di installazione, memoria, nome del computer, variabili di ambiente e percorsi di directory localizzati in spagnolo e portoghese. Successivamente viene avviato uno script Visual Basic che tenta l’aggiramento di AMSI e ETW, due meccanismi chiave per il rilevamento e il tracciamento delle attività sospette su Windows, mentre in parallelo viene mostrata una pagina fittizia di citazione penale per distrarre l’utente.

La catena di infezione include anche azioni di pulizia e persistenza, tra cui:

• Rimozione dell’artefatto iniziale
• Cancellazione dei metadati Mark of the Web
• Creazione di un avvio automatico tramite la cartella Startup

La fase finale usa PowerShell per decodificare ed eseguire in memoria un Remote Access Trojan, un fork di AsyncRAT con elementi riconducibili a DCRat, in grado di offrire controllo remoto e accesso a dati sensibili.

Durante un periodo di osservazione tra fine ottobre e inizio novembre 2026 è stata rilevata una ondata di quasi 3300 email malevole. La Colombia resta un obiettivo prioritario, anche a causa di vulnerabilità strutturali e livelli di maturità di sicurezza non uniformi in settori pubblici, finanziari e privati, fattori che possono facilitare compromissioni, furto di dati e riuso di credenziali.