Свързани с руската държава хакери са разширили фишинг операция, която използва нова верига за доставка RedFlick, за да засегне над 100 организации.
Кампанията заменя явните зловредни прикачени файлове с разговор, който изглежда като обикновена професионална кореспонденция.
Активността е регистрирана в най-малко 13 кампании от януари до август 2026 г., засягайки главно организации в Съединените щати и Обединеното кралство.
Сред мишените са били правителствени, дипломатически, изследователски, публично-политически, журналистически и финансови групи, чиято работа е свързана с Украйна.
Анализатори от Field Effect отбелязват, че операцията отразява по-широка промяна в тактиката на Star Blizzard (известна още като ColdRiver или Callisto) – преминаване от целеви фишинг (spear-phishing) към по-мащабни кампании с първоначален контакт. Тази промяна позволява на атакуващите да идентифицират хора, склонни към комуникация, преди да изпратят вредните файлове.
В доклад, споделен с Cyber Security News (CSN), от Field Effect посочват, че са използвани компрометирани уебсайтове за създаване на профили за разпространение на фишинг имейли.
Този подход се основава на историята на групата да адаптира своите примамки, включително атаки със зловредни QR кодове за WhatsApp, насочени към високопрофилни цели.
Руски хакери вземат на прицел над 100 организации
Първото съобщение не съдържа прикачен файл, зловреден софтуер или експлойт. Вместо това атакуващите се опитват да започнат дискусия, като често се възползват от обичайния ритъм на покани, обмен на политики, финансова кореспонденция, съвместни изследвания или споделяне на документи.
Получаването на отговор дава сигнал, че получателят може да се довери на подателя, и отваря вратата към следващия етап. Последващото съобщение съдържа защитен с парола RAR или ZIP архив, докато паролата е представена като изображение в самия имейл.
Тази схема може да попречи на продуктите за сигурност да инспектират съдържанието и прави архива да изглежда по-надежден, тъй като пристига в рамките на вече започнат разговор. Подобни тактики за фишинг със защитени с парола архиви са използвани и преди за намаляване на видимостта при сканиране на имейли.
След като бъде отворен, архивът може да съдържа VHDX виртуален диск или пряк път в Windows (известен като LNK файл), маскиран като PDF документ. Файловете стартират скриптове и легитимни системни инструменти на Windows, за да изтеглят допълнителни компоненти от инфраструктура, контролирана от киберпрестъпниците.
Тази злоупотреба с пряк път, наподобяващ документ, напомня на по-ранни атаки със зловредни PDF и LNK файлове, които криеха вредни действия зад фалшив файл за прикритие.
Започвайки от април, инсталаторите на RedFlick са създавали планирани задачи (scheduled tasks), събирали са основна информация за системата, активирали са WebDAV достъп и са изтегляли материали, използвани за инсталиране на задна вратичка (backdoor) CosmicPulse.
Планираните задачи могат да осигурят на атакуващия надежден начин за повторно изпълнение на код, докато WebDAV е поддържан от Windows метод за достъп до отдалечени файлове.
През юли злонамерените субекти добавиха още едно ниво, като поставиха защитен с парола RAR архив вътре в ZIP файл. Неговият пряк път изтегляше PDF файл, съдържащ кодирани данни.
След това PowerShell извличаше и стартираше тези данни, за да получи MSI инсталатор, което още повече разграничаваше видимия документ от злонамерения процес.
Приоритети за откриване и реагиране
Microsoft отбелязва, че RedFlick осъществява комуникация с отдалечена инфраструктура, създава планирани задачи и внедрява CosmicPulse при поне един инцидент.
Тази последователност може да осигури на атакуващия постоянен достъп до устройство с Windows, дори след като първоначалният фишинг имейл вече не е пред погледа на потребителя.
Специалистите по защита трябва да прегледат имейл логовете за криптирани RAR или ZIP архиви, пристигащи след предишни съобщения без прикачени файлове, особено когато подателят твърди, че е пропуснал прикачения файл, или предоставя парола в хода на разговора.
Екипите трябва да идентифицират получателите, които са получили, извлекли, монтирали или отворили файловете, разграничавайки доставката от действителното изпълнение. Когато работните процеси го позволяват, криптираните архиви, които не могат да бъдат инспектирани, трябва да бъдат подлагани на допълнителна проверка, преди да достигнат до крайните устройства.
Екипите по сигурност трябва също да съпоставят извличането на архиви с монтиране на VHDX, изпълнение на LNK, MSI инсталатори, PowerShell, WebDAV активност, създаване на планирани задачи и непознати външни връзки.
Ако има съмнение за изпълнение, екипите за реагиране на инциденти трябва да изолират устройството, да запазят имейл кореспонденцията и оригиналния архив и да инспектират планираните задачи и други настройки за осигуряване на постоянен достъп.
Записите за процесите и мрежовата активност могат да разкрият пътя на инфекцията, докато прегледът на потребителските профили, активните сесии, правилата за пощенската кутия и последните съобщения може да разкрие допълнителни опити за компрометиране.
Кампанията показва защо първият имейл без зловредно съдържание не е доказателство за безопасност. Потвърждаването на неочаквани заявки чрез известен канал за контакт остава изключително важно, особено за организации, работещи с политики, изследвания, дипломация, журналистика или финанси, свързани с Украйна.