BlindEagle利用虚假法院通知投递RAT，攻击波及拉美地区

安全厂商披露，南美知名APT组织BlindEagle发起新一轮鱼叉钓鱼攻势，以西班牙语、葡萄牙语伪造法院传票、检察署文书为诱饵，投递AsyncRAT与DCRt系列远程控制木马，攻击范围覆盖哥伦比亚等拉美多国司法、财税、教育及政企机构。 

一、组织背景：长期深耕西语区的定向威胁组织

BlindEagle自2018年起持续活跃，是典型西班牙语威胁团伙，一贯瞄准拉美公职部门、金融、能源、制造业企业，擅长仿冒本地官方机构文书开展钓鱼。该组织偏好使用成熟商用RAT，包括AsyncRAT、DCRat、NjRAT、LimeRAT等，搭配多种打包器、混淆手段绕过邮件网关与终端查杀，以窃取敏感文档、账号凭证、实施内网横向渗透为目标。本次是其经典司法诱饵套路的新版本迭代。

二、攻击链路：HTMLSmuggling绕过邮件网关检测

整个攻击链以伪装法院通知的钓鱼邮件作为起点，邮件模仿检察院、高等司法委员会的正式文书，附带案件编号、开庭提示，利用法律追责带来的压迫感，逼迫收件人打开附件。

诱饵文件多为XHTML内嵌恶意SVG，打开后会触发HTMLSmuggling技术，直接在浏览器本地组装加密ZIP载荷，载荷不会以传统附件形式过邮件扫描，大幅绕过邮件安全网关检测。压缩包内包含伪装成网络审计工具的JS下载器，先执行环境探测，识别系统语言、版本、网络信息，再调用PowerShell在内存中解码加载RAT，落地后同步尝试关闭AMSI、ETW等Windows原生防护，清除网际标记，并通过启动文件夹实现持久驻留，同时展示虚假传票页面掩盖异常行为。

三、RAT植入后的危害

RAT成功运行后，攻击者将获得目标主机完整远程控制权：可查看屏幕、窃取浏览器Cookie、邮箱凭证、财务文档、司法案卷，还可窃取SSH密钥、加密钱包信息。攻击者以被攻陷主机为支点，在内网横向移动，渗透域控、文件服务器、业务系统。

由于攻击对象多为司法、财税单位，一旦失守，案件卷宗、公民信息、内部审批资料会批量外泄，还会被用来伪造更多官方钓鱼邮件，形成二次扩散。

四、重点识别特征

1.邮件主题：紧急司法通知、传唤、诉讼程序、税务稽查，使用西语/葡语；
2.诱饵载体：XHTML、SVG、加密压缩包，邮件正文直接给出解压密码；
3.技术特征：HTML走私、内存加载、禁用AMSI、持久化写入启动项；
4.目标人群：法务、行政、财务、公职人员，负责合同、案件受理岗位。

五、防护与应急处置建议

邮件侧：网关拦截带有司法/税务诱饵、附带加密压缩包且正文附带密码的邮件；针对西语、葡语境外发件人提高告警等级。

终端侧：EDR监控PowerShell无文件加载、JS脚本发起可疑下载、启动目录新增未知程序行为；对AMSI被篡改、ETW被关闭的主机立即告警隔离。

人员培训：明确官方司法文书不会通过邮件发送加密附件，不打开陌生传票链接、不运行来路不明的审计工具。
感染处置：主机断网、取证后重装系统，批量轮换邮箱、域账号、业务系统密码，审计内网访问日志，排查横向移动痕迹。