BlindEagle (APT-C-36)Hybrid aus Spionage und Cybercrime – Kolumbiens leiseste APT

Executive Summary

BlindEagle (APT-C-36 / AguilaCiega / TAG-144 / G0099 / APT-Q-98) ist eine vermutlich aus Lateinamerika operierende Bedrohungsakteur-Gruppe. Seit 2018 verfolgt, betreibt sie eine hybride Spionage- und Cybercrime-Operation und hat hunderte Organisationen in Lateinamerika und den USA kompromittiert. Das Cluster „Red Akodon” überlappt über gemeinsame gecrackte AsyncRAT-Samples, ist aber nicht formal identisch.

Bemerkenswert ist nicht die technische Raffinesse: BlindEagle nutzt fast ausschließlich gecrackte Commodity-RATs und öffentliche File-Sharing-Dienste. Die Disziplin dagegen ist beeindruckend – kulturell präzise Lures auf einzelne kolumbianische Institutionen, Geofencing-Auslieferung, die Nicht-LATAM-Sandboxen blind schaltet, und Weaponisierung neuer Patches innerhalb von Tagen.

Die Lücke zwischen operativer Reife und Werkzeugwahl ist zu groß, um sie allein mit fehlender Fähigkeit zu erklären. Der konsequente Rückgriff auf Off-the-Shelf-RATs und gemietete Crypter könnte Absicht sein: er liefert einen generischen forensischen Fußabdruck, erschwert Profiling – und hält das Tempo oben, das Eigen-Entwicklung bremsen würde.

Wer ist BlindEagle?

Öffentlich offengelegt wurde BlindEagle als APT-C-36 am 18. Februar 2019, mit retrospektiv zurückverfolgter Aktivität bis April 2018. Die Herkunft wird als südamerikanisch bewertet – höchstwahrscheinlich Kolumbien oder ein Nachbarland. Indizien: konsistente Arbeitszeiten in UTC-5 und UTC-4, spanische Lures, regionale Infrastruktur und operative Artefakte.

Keine staatliche Attribution ist bestätigt, keine Individuen wurden angeklagt oder öffentlich identifiziert. Dokumentiert sind allerdings zwei Crypter-Autoren unter den Nicknames „Roda” und „Pjoao1578”. Pjoao1578 ist wahrscheinlich ein brasilianischer Entwickler – konsistent mit Kaspersky-Beobachtungen vom August 2024: Variablennamen in Portugiesisch, Nutzung brasilianischer Image-Hoster. Das deutet auf Outsourcing oder Zusammenarbeit mit portugiesischsprachigen Akteuren hin.

Motivation 1 · Finanziell

Der finanzielle Strang zentriert sich auf Banking-Credential-Diebstahl. Die Gruppe nutzt BlotchyQuasar, eine modifizierte Quasar-RAT-Variante: Sie überwacht Browser-Fenstertitel und aktiviert Keylogging, sobald ein Opfer eines von 20+ kolumbianischen oder ecuadorianischen Banking-Portalen aufruft. Einer der operativen Cluster konzentrierte sich vollständig auf Fake-Portale, die Davivienda, Bancolombia und BBVA nachbauen.

Im Februar 2025 ein operativer Patzer: In einem ihrer GitHub-Repos blieb eine HTML-Datei offen liegen – mit tausenden gestohlenen PII-Einträgen: Benutzernamen, Passwörter, Mail-Credentials und ATM-PINs von Privatpersonen, Unternehmen und Behördenmitarbeitern. Auch die Versicherungsbranche wurde innerhalb dieses Tracks angegriffen. Öffentlich bestätigt sind weder tatsächlich abgehobene Gelder noch Verkäufe der Credentials in Untergrundmärkten – ein offener Punkt für die Bewertung.

Motivation 2 · Spionage

Der Spionage-Track zielt auf eine völlig andere Klasse von Institutionen: kolumbianische Justizorgane (Rama Judicial, Fiscalía General), Regierungsministerien (DIAN, Außenministerium, eine Behörde unter dem MCIT), verteidigungsnahe Stellen und – besonders bemerkenswert – die Institutionen rund um Kolumbiens Friedensverhandlungen. Diese Kampagnen liefern RATs mit voller Fernzugriffs-Funktionalität: Dateiexfiltration, Screenshot-Capture, Webcam- und Mikrofon-Zugriff. Das gibt den Operatoren persistente Überwachung hochwertiger Regierungsziele.

Zielregionen

Kolumbien ist der überwältigende Primärschwerpunkt – Kaspersky meldete für Mai/Juni 2024 87 % der Opfer in Kolumbien. Sekundärziele: Ecuador, Chile, Panama, Spanien. Ab 2024 zusätzlich spanischsprachige Organisationen in Nordamerika – die Phishing-Lures blieben Spanisch, gerichtet an Mitarbeitende nordamerikanischer Fertigungsfirmen.

Zielbranchen

BlindEagle deckt öffentlichen und privaten Sektor in Lateinamerika ab – mit klarer Konzentration auf Kolumbien.

Angriffskette · 8 Stufen

Die Stufen-Logik ist konstant, Tools und Dienste rotieren von Kampagne zu Kampagne. Wer eine Stufe bricht, stoppt die ganze Operation.

Loader, Crypter, Downloader

BlindEagle rotiert durch Commodity- und Crimeware-Markt-Tools – und wechselt zwischen Kampagnen. März 2024: Ande-Loader liefert Remcos und njRAT in RAR/BZ2-Archiven. Dieselbe Untersuchung zeigte den Einsatz von Cryptern der Entwickler „Roda” und „Pjoao1578” – ein Roda-Crypter enthielt einen hardcodierten Server, der zugleich Kampagnen- Komponenten hostete.

Mitte 2024: DLL-Sideloading kommt dazu. In einer Kampagne gegen kolumbianische Justizbehörden enthielt das Archiv eine saubere ausführbare Datei, die per Sideloading die Infektion startete – plus HijackLoader, der die finale Payload entschlüsselt und lädt.

September 2025 (MCIT-Operation): Caminho, ein brasilianischstämmiger Downloader, der ab Mai 2025 in Untergrundmärkten auftauchte. BlindEagle war Early Adopter. Payload wurde aus Base64 dekodiert, per Reflection als .NET-Assembly geladen – am Ende: DCRAT.

Der rote Faden ist nicht ein einzelnes Tool, sondern das Beschaffungsmuster: Kaufen oder cracken, was am Markt ist –statt eigene Tools zu entwickeln.

Finale Payloads · Toolset im Zeitverlauf

Kein einzelner RAT – ein Karussell aus Commodity-Familien.

Command-&-Control · Infrastruktur

Wie bei den Loadern committet sich BlindEagle auf kein einziges Provider-Setup. Genutzt wird, was billig, verfügbar und für die jeweilige Operation passend ist.

Warum BlindEagle weit über Kolumbien hinaus zählt

Der Spillover in andere Regionen ist empirisch: Telemetrie zeigt einen signifikanten Anteil BlindEagle-Aktivität in US-Netzen, konzentriert auf Manufacturing und Financial Services – beides Sektoren, die über Lieferketten tief mit Nordamerika und Europa verflochten sind. Eine kolumbianische Fabrik oder brasilianische Bank, die kompromittiert wird, gefährdet Partner-Credentials, Verträge und IP – unabhängig davon, wo der Headquarter sitzt.

BlindEagle beweist, dass Commodity-Tooling im großen Stil funktioniert: Ohne eigene Malware infizierte die Gruppe tausende Endpunkte, indem sie gecrackte AsyncRAT/Remcos mit Packern wie HeartCrypt, kommerziellen Loadern und kulturell präzisen Lures kombinierte. Das ist nicht neu für BlindEagle – aber dieser Pfad ist für andere Akteure kopierbar. Verteidiger, die „Crimeware”-RATs als Low-Tier abtun, priorisieren falsch.

Patch-to-Weaponization ist eng. BlindEagle integrierte eine CVE-2024-43451-Variante sechs Tage nach Patch (12.11.2024) – mit dem WebDAV-Trigger (Rechtsklick, Einfachklick, Drag oder Löschen einer .url-Datei feuert eine ausgehende Auth-Anfrage), aber nicht zum NTLMv2-Hash-Leak, sondern als Download-Beacon. Das komprimiert das Patch-Fenster für jede neu disclosed Windows-Shell-Lücke von Wochen auf Tage.

So verteidigen sich Unternehmen

Für deutsche Unternehmen wird BlindEagle vor allem dann relevant, wenn LATAM-Niederlassungen, Joint-Ventures oder Lieferanten in Kolumbien, Ecuador, Chile, Panama oder Mexiko bestehen. Genau über diese Standorte können sich Phishing- und Account-Kompromittierungen in DACH-Netze fortpflanzen.

Check Point Research · Justiz-Kampagne 2024/2025

Check Point Research dokumentiert seit November 2024 eine durchgehende Welle gegen kolumbianische Justiz- und Regierungsbehörden. Der Bericht „Blind Eagle: …And Justice for All" (10.03.2025) ist die bislang detaillierteste öffentliche Aufarbeitung der Kampagnen-Infrastruktur – und liefert zugleich ein OPSEC-Eigentor der Gruppe.

MITRE ATT&CK · vollständige TTP-Matrix

Gruppiert nach Taktik – die komplette beobachtete Technikliste aus aktuellen BlindEagle-Berichten (SOCRadar, MITRE G0099, Kaspersky, Check Point).