Assinada pelo pesquisador Gabriel Alves, a análise técnica foi publicada em 4 de novembro pela empresa de cibersegurança Zenox. Os especialistas monitoraram uma onda recente com cerca de 3.300 e-mails e fraudulentos disparados entre o fim de outubro e o início deste mês .

No alerta, Alves avalia que a escolha estratégica por temas legais reflete a vulnerabilidade de setores que lidam constantemente com documentos formais e processos:

A repetição de alvos na Colômbia em outros países da região reflete fatores como vulnerabilidades estruturais e maturidade de segurança desigual em partes da infraestrutura crítica, pública, financeira e privada

O ataque começa quando o usuário recebe um e-mail com um arquivo anexado que aparenta ser uma certidão ou constatação de despacho judicial. Ao abrir o documento no navegador web, a vítima se depara com uma página falsa que imita órgãos governamentais reais, a exemplo da procuradoria geral da Colômbia .

Em seguida, ocorre uma técnica chamada de contrabando de HTML . O arquivo gera localmente um pacote compactado em formato ZIP dentro do navegador do usuário, que escapa dos filtros tradicionais de e-mail que costumam bloquear apenas anexo os executáveis diretos.

Dentro do ZIP falso, há um script disfarçado de software de auditoria de rede. Assim que é executado pela vítima, o programa realiza uma varredura silenciosa no computador para coletar informações do sistema operacional, memória e pastas locais dos idiomas português e espanhol. O código malicioso também desativa defesas nativas do Windows, limpa rastros de navegação e cria mecanismos automáticos para que o vírus seja ativado toda vez que a máquina for ligada.

A infecção culmina na instalação e memória de um “cavalo de Troia” de acesso remoto, conhecido como RAT. Esse tipo de programa concede controle total da máquina ao invasor, que passa a registrar tudo que editado no teclado, capturar telas e buscar arquivos confidenciais de cunho financeiro ou jurídico.