Blind Eagle ist seit 2018 aktiv. Die Gruppe nutzt seit Langem Spear-Phishing, um handelsübliche Fernzugriffstrojaner wie AsyncRAT, BitRAT, Lime RAT, NjRAT, Quasar RAT und Remcos RAT zu verbreiten. Die aktuellen Mails richten sich an Personen, die Fälle, Verträge oder Anfragen an Justiz und Institutionen bearbeiten. Sie sollen dazu gebracht werden, einen präparierten Anhang zu öffnen.

In einem Fall enthielt eine Mail eine XHTML-Datei mit Bezug zur kolumbianischen Justiz. Dabei handelte es sich um eine präparierte SVG-Grafik, die eine gefälschte Webseite der Fiscalía General de la Nación anzeigt, also der kolumbianischen Generalstaatsanwaltschaft. Die Seite nutzt HTML-Smuggling: Das ZIP-Archiv für die nächste Stufe wird mit ZipCrypto erst lokal im Browser zusammengesetzt. So umgehen die Angreifer die Sicherheitskontrollen für E-Mails.

Das Archiv enthält einen JavaScript-Dropper, der sich als „Network Configuration Auditor“ in Version 2.7.298 ausgibt. Er erkundet zunächst das System und sammelt Systemversion, Netzwerkprofil, Installationsdatum, Speichergröße, Computernamen und Umgebungsvariablen. Außerdem erfasst er Verzeichnisse mit portugiesischen und spanischen Namen. Anschließend startet er ein Visual-Basic-Skript, das das Antimalware Scan Interface (AMSI) und Event Tracing for Windows (ETW) umgeht. Zur Ablenkung zeigt es eine gefälschte strafrechtliche Vorladung an. Gleichzeitig löscht die Schadsoftware die ursprüngliche XHTML-Datei und entfernt die Mark-of-the-Web-Metadaten. Damit sie bei jedem Systemstart ausgeführt wird, legt sie sich im Windows-Autostart-Ordner ab. Zum Schluss dekodiert PowerShell den eigentlichen RAT und startet ihn im Arbeitsspeicher. Zenox ordnet den Trojaner anhand von Codestruktur, Konfiguration, Build-Merkmalen und beobachtetem Verhalten als AsyncRAT-Fork mit DCRat-Abstammung ein.

Die Angreifer zielen auf Organisationen aus Justiz, Finanz- und Steuerwesen, Verwaltung und Bildung. Laut Zenox verschafft ihnen das Zugang zu höchst sensiblen juristischen, finanziellen und institutionellen Informationen. Die portugiesischen und spanischen Köder, die brasilianische Infrastruktur, die Zeitzone der Aktivitäten und die regionale Verteilung der Opfer sprechen nach Einschätzung von Zenox für eine Operation von APT-C-36, die über einen brasilianischen Cluster gesteuert wird.

Ob Angriffe tatsächlich erfolgreich waren, kann Zenox nicht bestätigen. Zwischen Ende Oktober und Anfang November 2026 beobachtete das Unternehmen jedoch eine große Welle gezielter Phishing-Mails mit fast 3.300 bösartigen Nachrichten. Nicht alle davon gingen an Organisationen in Kolumbien. Das Land bleibt aber ein bevorzugtes Ziel der Gruppe.

Zenox-Sicherheitsforscher Gabriel Alves führt das auf mehrere Faktoren zurück. Ein wesentlicher Faktor seien strukturelle Schwachstellen und ein uneinheitlicher Sicherheitsstand in Teilen der kritischen, öffentlichen, finanziellen und privatwirtschaftlichen Infrastruktur des Landes. Solche Bedingungen könnten erfolgreiche Kompromittierungen wahrscheinlicher machen. Sie böten zudem mehr Möglichkeiten, Zugänge zu Geld zu machen, sensible Daten oder Gelder zu stehlen oder erbeutete Zugangsdaten gegen kritische Systeme einzusetzen. Hinzu komme, dass regionale Akteure mit den Verhältnissen in Kolumbien vertraut seien. Das passe zu Mustern, die bei lateinamerikanischen Bedrohungsakteuren beobachtet würden.