Эксперты по кибербезопасности из Insikt Group идентифицировали пять отдельных кластеров активности, связанных с угрозой TAG-144, также известной как Blind Eagle. Эти кластеры действовали в разное время на протяжении 2024 и 2025 годов, нацеливаясь на значительное число жертв, в основном в правительстве Колумбии на местном, муниципальном и федеральном уровнях.
Описание
Хотя кластеры используют схожие тактики, техники и процедуры (TTP), такие как применение открытых и взломанных троянов удаленного доступа (RAT), динамических DNS-провайдеров и легитимных интернет-сервисов для размещения вредоносных нагрузок, они значительно различаются в инфраструктуре, развертывании вредоносного программного обеспечения и других операционных методах. Также найдены дополнительные доказательства связи TAG-144 с группой Red Akodon и выявлены скомпрометированные электронные почтовые ящики колумбийских государственных учреждений, вероятно, используемые в целевых фишинговых кампаниях.
Группировка TAG-144, также известная как AguilaCiega, APT-C-36 и APT-Q-98, активна как минимум с 2018 года и в основном нацелена на Южную Америку, особенно на Колумбию. Её основными целями являются государственные институты, особенно судебные и налоговые органы, а также финансовые структуры, нефтяные и энергетические компании, организации в сфере образования, здравоохранения, производства и профессиональных услуг. Операции в основном сосредоточены в Колумбии, с дополнительной активностью в Эквадоре, Чили и Панаме.
Первоначальный доступ обычно осуществляется через целевые фишинговые кампании, маскирующиеся под уведомления от местных государственных органов, чаще всего колумбийских властей. Эти кампании используют такие темы, как взыскание долгов и судебные уведомления, чтобы заманить жертв в открытие вредоносных документов. Для сокрытия вредоносных ссылок и географического таргетинга используются сервисы сокращения URL. Группировка применяет гео-ограничения и другие меры уклонения от обнаружения, которые блокируют доступ из-за пределов Колумбии или Эквадора, перенаправляя внешних пользователей на официальные правительственные сайты.
TAG-144 использует широкий спектр троянов удаленного доступа, включая AsyncRAT, REMCOS RAT, DcRAT, njRAT, LimeRAT, QuasarRAT, BitRAT и вариант Quasar, известный как BlotchyQuasar. Её инструментарий также включает криптеры, такие как HeartCrypt, PureCrypter, а также инструменты, разработанные такими угрозными акторами, как «Roda» и «pjoao1578». Кроме того, применяются методы стеганографии, когда вредоносные нагрузки внедряются в файлы изображений для уклонения от обнаружения.
Инфраструктура управления и контроля (C2) группировки часто включает IP-адреса от колумбийских интернет-провайдеров, а также виртуальные частные серверы (VPS) и VPN-сервисы. Эта setup усиливается за счет использования динамических DNS-сервисов. Существует подозрение, что группа использует скомпрометированные маршрутизаторы, которые затем перепрофилируются в обратные прокси, чтобы скрыть истинное местоположение их C2-серверов и усложнить атрибуцию.
Группировка постоянно использует легитимные интернет-сервисы, особенно на этапе размещения вредоносной нагрузки. Эти сервисы включают широко используемые платформы, такие как Bitbucket, Discord, Dropbox, GitHub, Google Drive, Paste.ee, а также менее известные платформы, такие как нераскрытые бразильские сайты для хостинга изображений. Кроме того, группа была замечена в использовании скомпрометированных учетных записей для размещения вредоносного контента.
Происхождение группировки остается неопределенным, хотя несколько исследований предполагают, что она действует в часовых поясах UTC-5 или UTC-4, что совпадает со странами вроде Колумбии и Эквадора. В технических артефактах были обнаружены комментарии на испанском и португальском языках. Также группировка была замечена в использовании инструментов и сервисов, связанных с бразильским киберпреступным подпольем, что указывает на возможную связь с бразильскими APT.
Эксперты Insikt Group отследили пять кластеров активности, связанных с TAG-144, которые были активны между маем 2024 и июлем 2025 года. Эти кластеры демонстрируют различные TTP и коллективно нацеливаются на многочисленных жертв.
- активный с февраля по июль 2025 года, связан с инфекциями DcRAT, AsyncRAT и REMCOS RAT, нацеленными исключительно на колумбийские государственные entities.
- активный между сентябрем и декабрем 2024 года, связан с активностью AsyncRAT, нацеленной на правительство Колумбии и организации в сфере образования, обороны и розничной торговли.
- активный с сентября 2024 по июль 2025 года, связан с развертыванием как AsyncRAT, так и REMCOS RAT.
- активный с мая 2024 по февраль 2025 года, примечателен сочетанием инфраструктуры для вредоносного ПО и фишинговой активности.
- активный с марта по июль 2025 года, связан с развертыванием LimeRAT и взломанного варианта AsyncRAT.
Были выявлены совпадения в инфраструктуре между кластерами, что позволило установить связь между ними. Кроме того, кластеры имеют заметные сходства в методах, техниках и процедурах (МТП), включая выбор инфраструктуры, шаблоны именования доменов, развертывание вредоносного ПО и злоупотребление законными интернет-сервисами. Однако каждый кластер также демонстрирует явные различия.
Для защиты от TAG-144 специалистам по безопасности рекомендуется блокировать IP-адреса и домены, связанные с соответствующими троянами, помечать и потенциально блокировать подключения к необычным легитимным сервисам, а также развертывать обновленные правила обнаружения для текущих и исторических инфекций. Другие меры контроля включают внедрение фильтрации электронной почты и мониторинга эксфильтрации данных. В долгосрочной перспективе аналитики должны постоянно отслеживать экосистему киберпреступности на предмет появления новых угроз и соответствующим образом адаптировать меры контроля.
Группировка TAG-144 является частью растущей киберпреступной экосистемы в Южной Америке, где быстрая цифровизация и ограниченная киберзащита способствуют увеличению количества киберпреступлений. Ожидается, что TAG-144 продолжит фокусироваться на целях в рамках колумбийского правительства, сохраняя свои текущие операционные модели. Это включает в себя продолжение использования взломанных адресов электронной почты, динамических DNS-сервисов, злоупотребления законными интернет-сервисами и развертывания настраиваемых инструментов. Кроме того, ожидается, что группа будет адаптироваться, интегрируя новые взломанные или открытые инструменты и выявляя дополнительные законные сервисные платформы для эксплуатации. Учитывая настойчивость в выборе целей, техническую адаптивность и операционный успех, эксперты полагают, что TAG-144 в обозримом будущем останется серьезной угрозой для типичных жертв.
Индикаторы компрометации
