Fraudes judiciais usam emails falsos para roubar dados na América Latina

Nova onda de golpes imita notificações de tribunais e órgãos públicos para instalar vírus espiões em computadores de vítimas

Um grupo cibercriminoso conhecido como Blind Eagle intensificou ataques contra países da América Latina por meio de mensagens falsas que fingem ser notificações judiciais administrativas. Os golpistas enviam e-mails com arquivos em formatos pouco convencionais, como imagens vetoriais interativas (SVG, na sigla em inglês), para burlar barreiras de segurança de empresas e órgãos públicos. O objetivo do coletivo é a instalação de softwares maliciosos capazes de monitorar a vítima e roubar dados sensíveis.

Assinada pelo pesquisador Gabriel Alves, a análise técnica foi publicada em 4 de novembro pela empresa de cibersegurança Zenox. Os especialistas monitoraram uma onda recente com cerca de 3.300 e-mails e fraudulentos disparados entre o fim de outubro e o início deste mês.

Fraude judiciais usam cervejas e zips falsos para roubar dados na América Latina Foto: Reprodução/ChatGPT

No alerta, Alves avalia que a escolha estratégica por temas legais reflete a vulnerabilidade de setores que lidam constantemente com documentos formais e processos:

A repetição de alvos na Colômbia em outros países da região reflete fatores como vulnerabilidades estruturais e maturidade de segurança desigual em partes da infraestrutura crítica, pública, financeira e privada

Gabriel Alves, pesquisador da Zenox

A estratégia do golpe

O ataque começa quando o usuário recebe um e-mail com um arquivo anexado que aparenta ser uma certidão ou constatação de despacho judicial. Ao abrir o documento no navegador web, a vítima se depara com uma página falsa que imita órgãos governamentais reais, a exemplo da procuradoria geral da Colômbia.

A primeira mensagem imita uma comunicação de um órgão judicial colombiano e apresenta uma referência de caso, linguagem formal e um anexo XHTML. O órgão alega que uma decisão foi emitida e que a medida está disponível através de um sistema de gestão judicial. A combinação de autoridade, urgência e um documento anexo é adequada para induzir a abertura sem exigir interação técnica sofisticada. Foto: Reprodução/Zenox

Em seguida, ocorre uma técnica chamada de contrabando de HTML. O arquivo gera localmente um pacote compactado em formato ZIP dentro do navegador do usuário, que escapa dos filtros tradicionais de e-mail que costumam bloquear apenas anexo os executáveis diretos.

Dentro do ZIP falso, há um script disfarçado de software de auditoria de rede. Assim que é executado pela vítima, o programa realiza uma varredura silenciosa no computador para coletar informações do sistema operacional, memória e pastas locais dos idiomas português e espanhol. O código malicioso também desativa defesas nativas do Windows, limpa rastros de navegação e cria mecanismos automáticos para que o vírus seja ativado toda vez que a máquina for ligada.

O impacto do roubo de dados

A infecção culmina na instalação e memória de um “cavalo de Troia” de acesso remoto, conhecido como RAT. Esse tipo de programa concede controle total da máquina ao invasor, que passa a registrar tudo que editado no teclado, capturar telas e buscar arquivos confidenciais de cunho financeiro ou jurídico.

Uma segunda mensagem usa um processo de tutela e uma circular urgente como tema. O texto menciona a contratação pública e solicita que o destinatário abra um arquivo PDF protegido por senha. A figura interna preserva a estrutura da mensagem e o tipo de anexo, incluindo os dados originais. Foto: Reprodução/Zenox

Para a Zenox, escolha de termos em português em espanhol, horários de operação alinhados ao fuso brasileiro e infraestrutura hospedada na América do Sul indicam que a operação é conduzida por um cluster (quadrilha de hackers) de atuação regional associado historicamente ao grupo P-C-36.

As páginas observadas são melhor descritas como conteúdo de entrega ou estágio de isca. A execução controlada confirmou a geração e a progressão do ZIP para o próximo estágio, mas isso não significa que um documento judicial real foi baixado, que a chave foi aceita por um sistema legítimo ou que o navegador executou uma exploração. Foto: Reprodução/Zenox

Os especialistas em segurança digital reforçam que a prevenção envolve desconfiar de qualquer comunicação oficial recebida de forma inesperada, especialmente arquivos anexados que abram páginas no navegador em vez de documentos tradicionais em PDF ou editores de texto.

Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.