Den ryska statskopplade hackergruppen Star Blizzard har börjat använda en leveransmetod som automatiserar en större del av installationen av skadlig kod. Microsofts forskare uppger att RedFlick-malwareattacker använder vilseledande filbilagor för att installera gruppens CosmicPulse-bakdörr.
Metoden är fortfarande beroende av nätfiske och att ett offer öppnar en skadlig fil. Den kräver dock färre manuella steg än gruppens tidigare ClickFix-kampanjer.
Nätfiskemeddelanden leder till en förklädd genväg
Attacken börjar med ett e-postmeddelande som presenterar en trovärdig anledning att interagera, exempelvis en inbjudan. Ett uppföljande meddelande levererar sedan ett lösenordsskyddat ZIP- eller RAR-arkiv.
I arkivet placerar angriparna en virtuell VHDX-disk som innehåller en Windows-genväg förklädd till en PDF-fil.
När offret öppnar genvägen startar den ett dolt kommando och visar en lockbetes-PDF. Samtidigt laddar kommandot ner och kör ett MSI-installationsprogram, vilket startar nästa steg i infektionen.
RedFlick representerar därför en ny leveransmetod för Star Blizzard, snarare än en helt ny cybersäkerhetsteknik.
Tre schemalagda uppgifter delar upp installationsprocessen
Installationsprogrammet skapar tre schemalagda uppgifter med namn som liknar vanliga underhållsfunktioner. Var och en hanterar en separat del av attacken.
Internet Quality Test Connection skickar information om datorn, nätverket och användarnamnet till angriparna. Den kan också köra en DLL-fil på distans.
Network Configuration Manager förbereder Windows WebDAV-funktionalitet. Detta gör att systemet kan komma åt fjärrresurser på webben genom sökvägar som liknar filsökvägar.
System Health Monitor använder Windows-verktyget control.exe för att köra en fjärrhostad nyttolast.
Genom att dela upp dessa aktiviteter mellan separata uppgifter försöker angriparna göra de olika stegen svårare att upptäcka.
Nedladdare installerar CosmicPulse-bakdörren
Nästa komponent anländer som en Control Panel-applet med filändelsen .cpl. Microsoft identifierar denna nedladdare som NOROBOT, även känd som BAITSWITCH.
Den hämtar två ZIP-arkiv. Det ena innehåller ett 64-bitars Python 3.8-paket och en Python-bootstrapper som förbereder CosmicPulse för körning.
Bootstrappern hämtar en krypterad nyckel från Windows-registret. Därefter använder den nyckeln för att avkoda bakdörrens nyttolast.
Enligt Microsoft behåller CosmicPulse sina tidigare dokumenterade funktioner. Dessa inkluderar att köra Python-kod som tillhandahålls av angriparen, ladda ner och köra filer samt hämta dokument från infekterade system.
När offret öppnar den förklädda genvägen fortsätter de återstående installationsstegen automatiskt. Star Blizzards ClickFix-attacker krävde däremot att offren utförde flera manuella åtgärder.
Kampanjer riktar sig mot organisationer som stödjer Ukraina
Microsoft uppger att företaget observerade minst 13 separata storskaliga nätfiskekampanjer från Star Blizzard från början av 2026. Tillsammans påverkade de mer än 100 organisationer, främst i USA och Storbritannien.
Inom denna aktivitet riktade sig RedFlick-malwareattacker mot ukrainska individer och institutioner, tillsammans med internationella organisationer som stödjer Ukraina politiskt eller ekonomiskt.
Målen omfattade icke-statliga organisationer, tankesmedjor, myndigheter och finansinstitut.
Trots förändringarna i leveransmetoden fortsätter Star Blizzard att utge sig för att vara betrodda kontakter och organisationer. Gruppen fortsätter också att använda kostnadsfria e-postleverantörer för att skicka nätfiskemeddelanden.
Microsoft rekommenderar skydd i flera lager
Microsoft rekommenderar organisationer att kombinera nätfiskeresistent autentisering, Conditional Access-policyer och e-postskydd.
Dessutom bör mottagare verifiera misstänkta meddelanden genom etablerade kontaktuppgifter, i stället för att förlita sig på information i själva meddelandet.
Företaget rekommenderar också verktyg för endpoint detection and response som körs i blockeringsläge. Dessa kan ge ytterligare en möjlighet att stoppa skadliga komponenter när antivirusskyddet missar dem.
0 svar till ”RedFlick-malwareattacker levererar rysk bakdörr via falska PDF-filer”