Blind Eagle envoie de faux avis judiciaires en Amérique latine pour installer un maliciel d’accès à distance

Un groupe de pirates actif depuis longtemps, connu sous le nom de Blind Eagle et aussi suivi sous le nom d’APT-C-36, est derrière une nouvelle vague de courriels qui imitent des avis de tribunaux et du parquet, selon la firme de sécurité brésilienne Zenox (en anglais). Les courriels, en espagnol et en portugais, contiennent une pièce jointe qui aboutit à un cheval de Troie d’accès à distance (RAT) sur l’ordinateur Windows de la victime : un maliciel qui permet à l’attaquant de prendre le contrôle de la machine et d’y voler des données.

Zenox a dit à The Hacker News (en anglais) avoir vu près de 3 300 courriels malveillants dans cette vague, entre la fin octobre et le début novembre 2026. Elle dit ne pas pouvoir confirmer si des attaques ont réussi contre de vraies cibles.

Qui est visé

Les leurres imitent des notifications judiciaires, des avis de la Fiscalía General de la Nación de Colombie (le bureau du procureur général), des procédures de tutela (un recours colombien pour protéger des droits fondamentaux) et d’autres documents administratifs. Zenox dit que les courriels visent les personnes qui traitent des dossiers, des contrats et des demandes judiciaires ou institutionnelles dans des organisations judiciaires, fiscales, administratives et d’enseignement. La Colombie reste la cible principale, mais tous les messages ne la visaient pas.

Blind Eagle, que The Hacker News décrit comme un groupe hispanophone actif depuis 2018, a l’habitude d’utiliser des courriels d’hameçonnage ciblés pour installer des outils d’accès à distance courants.

Comment l’attaque fonctionne

Zenox a reconstitué toute la chaîne en laboratoire :

1. Le courriel affirme qu’une décision a été rendue et joint un fichier nommé comme un document judiciaire. Il se termine par .xhtml, mais c’est en fait une image SVG qui s’ouvre dans le navigateur comme une fausse page de dossiers de la Fiscalía.
2. Cette page fabrique un fichier ZIP directement dans le navigateur, une ruse appelée contrebande HTML qui aide à déjouer les filtres de courriel.
3. Le ZIP contient un script qui se fait passer pour un « Network Configuration Auditor ». Une fois lancé, il recueille des détails sur l’ordinateur et lance d’autres scripts qui désactivent des contrôles de sécurité de Windows, affichent une fausse page de « citation pénale » pour distraire, suppriment la pièce jointe d’origine et s’installent pour démarrer avec l’ordinateur.
4. Enfin, PowerShell charge le RAT directement en mémoire. Zenox dit qu’il s’agit d’une variante du célèbre AsyncRAT avec du code de DCRat.

Zenox relie la campagne à un groupe d’opérateurs au Brésil, en raison d’un hébergement brésilien, de code et de leurres en portugais et d’un fuseau horaire de São Paulo dans la configuration des attaquants.

Ce que vous pouvez faire

1. Les tribunaux et les procureurs ne signifient pas d’avis par pièce jointe surprise. Si un courriel dit que vous êtes partie à une affaire, cherchez vous-même le tribunal ou le bureau et contactez-le, ou consultez son portail officiel.
2. Méfiez-vous des « documents » qui s’ouvrent dans votre navigateur ou qui se terminent par .xhtml, .svg, .html, .js ou .vbs. Un avis juridique n’a besoin d’aucun de ces formats.
3. N’ouvrez pas de fichiers ZIP reçus dans des courriels juridiques ou fiscaux inattendus, et n’exécutez jamais un script qui s’y trouve.
4. Si vous en avez ouvert un, débranchez l’ordinateur du réseau et prévenez votre équipe TI. Depuis un autre appareil, changez les mots de passe utilisés sur cet ordinateur, en commençant par le courriel et la banque.

Comment Frame peut aider

Cette campagne installe des maliciels sur des ordinateurs. Ce n’est pas une fuite de données dans une entreprise, donc il n’y a pas de fuite à ajouter. Frame peut chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame n’analyse pas les appareils à la recherche de maliciels.

À lire aussi

• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : ce qu’un maliciel de ce genre peut prendre sur un ordinateur une fois installé.
• Un avis de cotisation révisé absent de Mon dossier est une arnaque : la même ruse qui emprunte l’autorité d’un organisme public, ici au Canada.

Sources

• Zenox, LAST HEIST: New APT-C-36 infection wave in LATAM (en anglais), novembre 2026
• The Hacker News, Blind Eagle Uses Fake Court Notices to Deliver Remote Access Trojan Across Latin America (en anglais), 10 novembre 2026