Newshot 
被称为 Blind Eagle 的威胁行为者已重新出现，发起一场新活动，通过司法和行政主题的网络钓鱼诱饵针对拉丁美洲的组织，以投递一个与 AsyncRAT 和 DCRat 同源的远程访问木马（RAT）。
“该活动使用葡萄牙语和西班牙语诱饵，这些诱饵类似法院通知、fiscalía 通知、tutela 程序和行政文件，”Zenox 在提供给 The Hacker News 的报告中表示。
据评估，Blind Eagle（又名 APT-C-36）是一个讲西班牙语的组织，自 2018 年以来一直活跃，并有使用鱼叉式网络钓鱼诱饵分发商品化 RAT 的记录，如 AsyncRAT、BitRAT、Lime RAT、NjRAT、Quasar RAT 和 Remcos RAT。
攻击链始于网络钓鱼电子邮件，这些邮件针对处理案件、合同、司法或机构服务请求的个人，诱骗他们打开带有恶意软件的附件。
一封包含哥伦比亚司法主题 XHTML 文件的电子邮件已被识别为武器化的可缩放矢量图形（SVG）图像，该图像渲染出一个虚假网页，冒充哥伦比亚的 Fiscalía General de la Nación，也称为总检察长办公室。
该网页则采用一种称为 HTML 走私的技术，使用 ZipCrypto 在 Web 浏览器本地组装下一阶段 ZIP 归档载荷，从而绕过电子邮件安全控制。
ZIP 归档中存在一个 JavaScript 释放器，伪装成 Network Configuration Auditor 版本 2.7.298。该 JavaScript 代码执行环境侦察，并收集系统版本、网络配置文件、安装日期、内存大小、计算机名、环境变量以及以葡萄牙语和西班牙语本地化的目录等详细信息。
执行后，它会启动一个 Visual Basic Script，执行 Windows Antimalware Scan Interface（AMSI）和 Event Tracing for Windows（ETW）绕过，同时显示一个虚假的刑事传唤页面作为分散注意力的机制。
与此同时，该恶意软件还采取措施删除原始 XHTML 工件，清除 Mark of the Web（MotW）元数据，并在 Windows 启动文件夹下在主机上建立持久化，以便在系统启动时自动执行。
攻击最终使用 PowerShell 在内存中解码并启动最终的 RAT 载荷。根据代码结构、配置、构建特征和观察到的行为，该木马是一个具有 DCRat 血统的 AsyncRAT 分支。
“针对司法、财政、行政和教育组织使该行动能够获取高度敏感的法律、金融和机构信息，”Zenox 表示。
“结合葡萄牙语和西班牙语诱饵、巴西基础设施、作战时区和区域受害者特征，这些要素使该活动成为通过一个巴西作战集群实施的 APT-C-36 行动。”
Zenox 告诉 The Hacker News，无法确认这些攻击中是否有任何一起成功针对现实世界目标。然而，在 2026 年 10 月下旬至 11 月上旬的活动期间，它观察到一场大规模定向钓鱼浪潮，涉及近 3,300 封恶意电子邮件。
尽管这些邮件并非全部针对哥伦比亚的组织，但该国仍因多种原因继续成为 Blind Eagle 的重点目标。
“反复针对哥伦比亚可能反映多个因素，其中一个主要促成因素是该国关键、公共、金融和私营部门基础设施部分存在的结构性漏洞和安全成熟度不均衡，”Zenox 安全研究员 Gabriel Alves 表示。
“这些条件可能提高成功入侵的可能性，并提供更多机会将访问权限变现、窃取敏感数据或资金，或将泄露的凭据复用于关键系统。区域行为体对哥伦比亚情况的熟悉进一步印证了这一点，也与拉丁美洲威胁行为体中观察到的模式一致。”
（本文发布后已更新，加入了来自 Zenox 的更多见解。）