El actor de amenaza conocido como \u00c1guila ciega<\/strong> se ha vinculado a una serie de campa\u00f1as en curso dirigidas a instituciones colombianas y entidades gubernamentales desde noviembre de 2024.<\/p>\n “Las campa\u00f1as monitoreadas dirigieron a las instituciones judiciales colombianas y otras organizaciones gubernamentales o privadas, con altas tasas de infecci\u00f3n”, Check Point dicho<\/a> En un nuevo an\u00e1lisis.<\/p>\n “M\u00e1s de 1.600 v\u00edctimas fueron afectadas durante una de estas campa\u00f1as que tuvo lugar alrededor del 19 de diciembre de 2024. Esta tasa de infecci\u00f3n es significativa teniendo en cuenta el enfoque APT dirigido de Blind Eagle”.<\/p>\n Blind Eagle, activo desde al menos 2018, tambi\u00e9n se rastrea como Aguilaciega, APT-C-36 y APT-Q-98. Es conocido por su orientaci\u00f3n hiperpec\u00edfica de entidades en Am\u00e9rica del Sur, espec\u00edficamente Colombia y Ecuador.<\/p>\n Los cadenas de ataque orquestadas por el actor de amenaza implican el uso de t\u00e1cticas de ingenier\u00eda social, a menudo en forma de correos electr\u00f3nicos de phishing de lanza, para obtener acceso inicial a los sistemas de destino y, en \u00faltima instancia, eliminan los troyanos de acceso remoto f\u00e1cilmente disponibles como Asyncrat, Njrat, Quasar Rat y Remcos Rat.<\/p>\n El \u00faltimo conjunto de intrusiones es notable por tres razones: el uso de una variante de un exploit para una falla de Microsoft Windows ahora parada (CVE-2024-43451), la adopci\u00f3n de un Packer-As-A-Service (PAAS) llamado Packer-As-Service (PAAS) llamado HeartCrypt, y la distribuci\u00f3n de la carga \u00fatil a trav\u00e9s de BitBucket y Github, Valing Beyond Drive y Dropbox.<\/p>\n Espec\u00edficamente, HeartCrypt se usa para proteger el ejecutable malicioso, una variante de PurecryPter que entonces es responsable de lanzar el malware REMCOS RAT alojado en un repositorio de Bitbucket o GitHub ahora recuperado.<\/p>\n CVE-2024-43451 se refiere a una vulnerabilidad de divulgaci\u00f3n de hash NTLMV2 que Microsoft fij\u00f3 Microsoft en noviembre de 2024. El \u00e1guila ciega, por punto de control, incorpor\u00f3 una variante de esta explotaci\u00f3n en su arsenal de ataque solo seis d\u00edas despu\u00e9s de la liberaci\u00f3n del parche, lo que hace que las v\u00edctimas sean v\u00edctimas a avanzar en la infecci\u00f3n de una infecci\u00f3n maliciosa.<\/p>\n “Si bien esta variante en realidad no expone el hash NTLMV2, notifica a los actores de amenaza de que el archivo fue descargado por las mismas interacciones inusuales de archivo de usuario”, dijo la compa\u00f1\u00eda de seguridad cibern\u00e9tica.<\/p>\n “En los dispositivos vulnerables a CVE-2024-43451, una solicitud de WebDAV se activa incluso antes de que el usuario interact\u00fae manualmente con el archivo con el mismo comportamiento inusual. Mientras tanto, en los sistemas parchados y sin parches, haciendo clic manualmente en el archivo malicioso .URL inicia la descarga y la ejecuci\u00f3n de la carga \u00fatil de la pr\u00f3xima etapa”.<\/p>\n Check Point se\u00f1al\u00f3 que la “respuesta r\u00e1pida” sirve para resaltar la experiencia t\u00e9cnica del grupo y su capacidad para adaptarse y buscar nuevos m\u00e9todos de ataque frente a las defensas de seguridad en evoluci\u00f3n.<\/p>\n Sirviendo como una pistola de fumar para los or\u00edgenes del actor de amenaza es el repositorio de GitHub, que ha revelado que el actor de amenaza opera en la zona horaria de UTC-5, aline\u00e1ndose con varios pa\u00edses sudamericanos.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Blind-Eagle-hackea-las-instituciones-colombianas-que-utilizan-fallas-NTLM.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n