Den russiske statstilknyttede hackergruppen Star Blizzard har tatt i bruk en leveringsmetode som automatiserer en større del av installasjonsprosessen for skadevare. Microsofts forskere sier at RedFlick-skadevareangrep bruker villedende filvedlegg for å installere gruppens CosmicPulse-bakdør.
Metoden er fortsatt avhengig av phishing og at et offer åpner en ondsinnet fil. Den krever imidlertid færre manuelle trinn enn gruppens tidligere ClickFix-kampanjer.
Phishing-meldinger fører til en forkledd snarvei
Angrepet begynner med en e-post som presenterer en troverdig grunn til å engasjere seg, for eksempel en invitasjon. En oppfølgingsmelding leverer deretter et passordbeskyttet ZIP- eller RAR-arkiv.
I arkivet plasserer angriperne en virtuell VHDX-disk som inneholder en Windows-snarvei forkledd som en PDF-fil.
Når offeret åpner snarveien, starter den en skjult kommando og viser en lokke-PDF. Samtidig laster kommandoen ned og kjører et MSI-installasjonsprogram, som starter neste fase av infeksjonen.
RedFlick representerer derfor en ny leveringsmetode for Star Blizzard, snarere enn en helt ny cybersikkerhetsteknikk.
Tre planlagte oppgaver deler opp installasjonsprosessen
Installasjonsprogrammet oppretter tre planlagte oppgaver med navn som ligner vanlige vedlikeholdsfunksjoner. Hver av dem håndterer en forskjellig del av angrepet.
Internet Quality Test Connection sender informasjon om datamaskinen, nettverket og brukernavnet til angriperne. Den kan også kjøre en ekstern DLL.
Network Configuration Manager klargjør Windows» WebDAV-funksjonalitet. Dette gjør det mulig for systemet å få tilgang til eksterne nettressurser gjennom fillignende stier.
System Health Monitor bruker Windows-verktøyet control.exe til å kjøre en eksternt lagret nyttelast.
Ved å dele disse aktivitetene mellom separate oppgaver forsøker angriperne å gjøre de forskjellige stadiene vanskeligere å oppdage.
Nedlaster installerer CosmicPulse-bakdøren
Den neste komponenten kommer som en Control Panel-applet med filtypen .cpl. Microsoft identifiserer denne nedlasteren som NOROBOT, også kjent som BAITSWITCH.
Den henter to ZIP-arkiver. Det ene inneholder en 64-bits Python 3.8-pakke og en Python-bootstrapper som klargjør CosmicPulse for kjøring.
Bootstrapperen henter en kryptert nøkkel fra Windows-registeret. Deretter bruker den nøkkelen til å dekode bakdørens nyttelast.
Ifølge Microsoft beholder CosmicPulse sine tidligere dokumenterte funksjoner. Disse inkluderer å kjøre Python-kode levert av angriperen, laste ned og kjøre filer og hente dokumenter fra infiserte systemer.
Når offeret åpner den forkledde snarveien, fortsetter de gjenværende installasjonsstadiene automatisk. Star Blizzards ClickFix-angrep krevde derimot at ofrene utførte flere manuelle handlinger.
Kampanjer retter seg mot organisasjoner som støtter Ukraina
Microsoft sier at selskapet observerte minst 13 separate storskala phishing-kampanjer fra Star Blizzard fra begynnelsen av 2026. Til sammen berørte de mer enn 100 organisasjoner, hovedsakelig i USA og Storbritannia.
Innenfor denne aktiviteten rettet RedFlick-skadevareangrep seg mot ukrainske enkeltpersoner og institusjoner, sammen med internasjonale organisasjoner som støtter Ukraina politisk eller økonomisk.
Målene inkluderte ikke-statlige organisasjoner, tankesmier, offentlige organer og finansinstitusjoner.
Til tross for endringene i leveringsmetoden fortsetter Star Blizzard å utgi seg for å være betrodde kontakter og organisasjoner. Gruppen bruker også fortsatt gratis e-postleverandører til å sende phishing-meldinger.
Microsoft anbefaler lagdelte forsvarstiltak
Microsoft anbefaler organisasjoner å kombinere phishing-resistent autentisering, Conditional Access-policyer og e-postbeskyttelse.
I tillegg bør mottakere verifisere mistenkelige meldinger gjennom etablerte kontaktopplysninger, i stedet for å stole på informasjonen i selve meldingen.
Selskapet anbefaler også endpoint detection and response-verktøy som kjører i blokkeringsmodus. Disse kan gi en ekstra mulighet til å stoppe ondsinnede komponenter når antivirusbeskyttelsen ikke oppdager dem.
0 responses to “RedFlick-skadevareangrep leverer russisk bakdør gjennom falske PDF-filer”