Den russiske statstilknyttede hackergruppe Star Blizzard har taget en leveringsmetode i brug, som automatiserer en større del af installationsprocessen for malware. Microsofts forskere siger, at RedFlick-malwareangreb bruger vildledende filvedhæftninger til at installere gruppens CosmicPulse-bagdør.
Metoden afhænger stadig af phishing og af, at et offer åbner en ondsindet fil. Den kræver dog færre manuelle trin end gruppens tidligere ClickFix-kampagner.
Phishing-beskeder fører til en forklædt genvej
Angrebet begynder med en e-mail, der præsenterer en troværdig grund til at engagere sig, såsom en invitation. En opfølgende besked leverer derefter et passwordbeskyttet ZIP- eller RAR-arkiv.
Inde i arkivet placerer angriberne en virtuel VHDX-disk, der indeholder en Windows-genvej forklædt som en PDF-fil.
Når offeret åbner genvejen, starter den en skjult kommando og viser en lokke-PDF. Samtidig downloader og kører kommandoen et MSI-installationsprogram, hvilket starter næste fase af infektionen.
RedFlick repræsenterer derfor en ny leveringsmetode for Star Blizzard snarere end en helt ny cybersikkerhedsteknik.
Tre planlagte opgaver opdeler installationsprocessen
Installationsprogrammet opretter tre planlagte opgaver med navne, der ligner almindelige vedligeholdelsesfunktioner. Hver af dem håndterer en forskellig del af angrebet.
Internet Quality Test Connection sender oplysninger om computeren, netværket og brugernavnet til angriberne. Den kan også køre en ekstern DLL.
Network Configuration Manager forbereder Windows’ WebDAV-funktionalitet. Dette gør det muligt for systemet at få adgang til eksterne webressourcer gennem fillignende stier.
System Health Monitor bruger Windows-værktøjet control.exe til at køre en eksternt hostet payload.
Ved at opdele disse aktiviteter på separate opgaver forsøger angriberne at gøre de forskellige stadier sværere at opdage.
Downloader installerer CosmicPulse-bagdøren
Den næste komponent ankommer som en Control Panel-applet med filtypen .cpl. Microsoft identificerer denne downloader som NOROBOT, også kendt som BAITSWITCH.
Den henter to ZIP-arkiver. Det ene indeholder en 64-bit Python 3.8-pakke og en Python-bootstrapper, der forbereder CosmicPulse til at køre.
Bootstrapperen henter en krypteret nøgle fra Windows-registreringsdatabasen. Derefter bruger den nøglen til at afkode bagdørens payload.
Ifølge Microsoft bevarer CosmicPulse sine tidligere dokumenterede funktioner. Disse omfatter at køre Python-kode leveret af angriberen, downloade og køre filer samt hente dokumenter fra inficerede systemer.
Når offeret åbner den forklædte genvej, fortsætter de resterende installationstrin automatisk. Star Blizzards ClickFix-angreb krævede derimod, at ofrene udførte flere manuelle handlinger.
Kampagner retter sig mod organisationer, der støtter Ukraine
Microsoft siger, at virksomheden observerede mindst 13 separate storstilede Star Blizzard-phishingkampagner fra begyndelsen af 2026. Tilsammen berørte de mere end 100 organisationer, primært i USA og Storbritannien.
Inden for denne aktivitet rettede RedFlick-malwareangreb sig mod ukrainske personer og institutioner sammen med internationale organisationer, der støtter Ukraine politisk eller økonomisk.
Målene omfattede ikke-statslige organisationer, tænketanke, offentlige myndigheder og finansielle institutioner.
På trods af ændringerne i leveringsmetoden fortsætter Star Blizzard med at udgive sig for at være betroede kontakter og organisationer. Gruppen bruger også fortsat gratis e-mailudbydere til at sende phishing-beskeder.
Microsoft anbefaler forsvar i flere lag
Microsoft anbefaler organisationer at kombinere phishing-resistent godkendelse, Conditional Access-politikker og e-mailbeskyttelse.
Derudover bør modtagere verificere mistænkelige beskeder gennem etablerede kontaktoplysninger i stedet for at stole på oplysningerne i selve beskeden.
Virksomheden anbefaler også endpoint detection and response-værktøjer, der kører i blokeringstilstand. Disse kan give endnu en mulighed for at stoppe ondsindede komponenter, når antivirusbeskyttelsen overser dem.
0 svar til “RedFlick-malwareangreb leverer russisk bagdør gennem falske PDF-filer”