威胁团伙 Blind Eagle，也被标记为 APT-C-36，近期在拉美地区发起新一轮鱼叉式钓鱼攻击，攻击者用西班牙语、葡萄牙语制作仿冒法院传票、检察院通知、行政文书的诱饵邮件，通过 HTML Smuggling 偷渡技术投递和 AsyncRAT、DCRat 同源的远程访问木马 RAT，目标集中在司法机构、政企、金融单位里负责合同、案件处理的工作人员。这类攻击利用大家收到司法文书时的紧张心理，诱导收件人打开 XHTML、SVG 恶意附件，附件打开后不会直接弹出病毒提示，而是展示高仿的官方通知页面分散注意力，后台悄悄绕过 AMSI、ETW 等 Windows 安全检测，最后通过 PowerShell 在内存加载 RAT，实现持久驻留。Blind Eagle 从 2018 年就开始活跃在拉美区域，一贯套路就是仿当地官方文件投放各类开源改造后的 RAT，一旦中招，攻击者可以截屏、记录键盘、窃取账号文件、远程操控主机，给机构带来数据泄露风险。

一、本次攻击活动核心信息清单

• 威胁团伙：Blind Eagle，APT 编号 APT-C-36，西班牙语背景黑客组织
• 覆盖区域：拉丁美洲，重点为哥伦比亚、巴西等西语、葡语国家
• 诱饵样式：伪造法院通知、检察官公告、保护令、行政通知
• 诱饵语言：西班牙语、葡萄牙语
• 初始载体：钓鱼邮件，恶意附件为 SVG、XHTML 文件
• 投递技术：HTML Smuggling（HTML 偷渡）
• 最终恶意载荷：同源 AsyncRAT / DCRat 改造版 RAT 远控木马
• 攻击目标：司法机关、政府部门、金融企业，负责案件、合同业务人员
• 团伙历史：2018 年起持续在拉美活动，常使用 AsyncRAT、Remcos、NjRAT 等远控工具

二、完整攻击链路对照表

三、RAT 木马能力清单

1. 远程桌面控制，后台隐蔽查看桌面画面
2. 键盘记录，收集账号密码、聊天内容
3. 屏幕截图、调取摄像头采集画面
4. 窃取浏览器 Cookie、登录凭证、本地文档
5. 执行任意系统命令，下载更多恶意程序
6. 开机自动持久化，重启之后依旧受控

四、企业和个人防护要点清单

1. 收到陌生司法通知邮件，不要直接打开附件，走官方渠道核验文书真伪
2. 邮件网关增加 XHTML、SVG 文件管控，阻断 HTML 偷渡类载荷
3. 终端 EDR 开启 AMSI 监控、内存脚本行为审计，拦截 PowerShell 异常加载
4. 针对司法、财务岗位做专项钓鱼培训，警惕 “紧急传票、限期应诉” 类高压话术
5. 及时备份业务数据，做好内网横向访问隔离，降低一台中招全网扩散风险

【相关 FAQ】

问题 1：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，Blind Eagle 这个团伙还有别的编号名称吗？

回答 1：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，Blind Eagle 也被安全厂商标记为 APT-C-36，是长期活跃在拉美地区的威胁团伙。

问题 2：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，这次攻击的恶意附件是什么格式，用了什么技术？

回答 2：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，本次攻击附件为 SVG、XHTML 文件，使用 HTML Smuggling 也就是 HTML 偷渡技术来传递恶意载荷。

问题 3：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，中招之后 RAT 可以做哪些操作？

回答 3：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，植入的 RAT 可以远程操控电脑、截屏、记录键盘、盗取账号凭证、执行恶意命令。

问题 4：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，Blind Eagle 团伙一般喜欢攻击哪些对象？

回答 4：Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区，该团伙主要瞄准拉美当地政府、司法机构、金融企业，重点针对处理案件、合同的工作人员。

【参考资料】

[2026-11-12]（Fraudes judiciais usam emails falsos para roubar dados na América Latina）informa noroeste

[2026-11-10]（Blind Eagle 利用虚假法院通知投递 RAT，攻击波及拉美地区）FreeBuf

[2026-11-10]（Blind Eagle Uses Fake Court Notices to Deliver Remote Access Trojan Across Latin America）The Hacker News

【免责声明】

本文仅为公开安全情报整理，攻击技术、恶意样本随团伙迭代持续变化；防护策略需要结合企业自身终端、邮件安全架构部署，情报内容不构成直接安全方案，处置安全事件请交由专业安全运维或应急响应团队。