Star Blizzard用RedFlick投递后门
微软披露，俄罗斯国家支持的APT组织Star Blizzard近期更新了TTP，使用名为RedFlick的恶意软件投递链，并扩大钓鱼活动规模，最终投递CosmicPulse后门。组织背景
Star Blizzard被认为隶属于俄罗斯联邦安全局（FSB）Centre 18，长期针对学术界、防务、政府机构、NGO和智库等目标，曾使用ClickFix技术和DarkSword iOS漏洞利用套件。
RedFlick投递链
攻击通常从钓鱼邮件开始。若收件人回复，Star Blizzard会发送第二封邮件，其中包含受密码保护的RAR或ZIP压缩包，触发RedFlick投递流程。RedFlick只需要单次用户交互即可执行恶意代码。
2026年1月至8月期间，Star Blizzard发起超过十多轮包含RedFlick诱饵附件的活动，邮件冒充乌克兰当局或知名智库、NGO，并伪装成来自目标组织内部。
2026年攻击变化
2026年1月起，攻击者发送携带恶意VHDX容器的钓鱼邮件。VHDX内嵌RedFlick载荷：伪装成PDF文档的快捷方式文件。用户点击后会打开诱饵文件，同时在后台执行脚本。该脚本会获取MSI安装器、配置计划任务以实现持久化，并启动NoroBot或BaitSwitch下载器，最终投递CosmicPulse Python后门。
2026年4月，Star Blizzard开始使用三个RedFlick计划任务进行持久化，任务名伪装为Internet Quality Test Connection、Network Configuration Manager和System Health Monitor。
2026年7月，该APT使用多阶段执行链，由恶意LNK文件执行PowerShell载荷。PowerShell尝试获取另一个MSI文件，并尝试创建两个额外计划任务。
目标与活动规模
相关攻击针对乌克兰个人和机构，以及向乌克兰提供支持的国际NGO、智库、政府和金融机构。微软称，Star Blizzard在被入侵网站上创建账号，每轮活动发送数十到数百封钓鱼邮件，可能借助群发钓鱼平台。
微软观点
微软指出，Star Blizzard从基于ClickFix的投递链转向VHDX文件，扩大计划任务持久化，并将载荷隐藏在PDF文件中，表明该组织仍在根据防御演进调整投递方法。
可关注线索
邮件携带VHDX附件、伪装成PDF的LNK、异常计划任务名称、MSI下载行为，以及NoroBot、BaitSwitch、CosmicPulse等恶意软件痕迹。
Re: Star Blizzard用RedFlick投递后门
感谢分享，这类 TTP 更新很有价值。Star Blizzard 这波从 ClickFix 转向 VHDX 容器，再配合伪装成 PDF 的 LNK，单次交互就能触发，确实比传统附件更隐蔽。尤其是用 Internet Quality Test Connection、Network Configuration Manager、System Health Monitor 这类看起来正常的计划任务做持久化，日常巡检时很容易被忽略。 防御上可能得重点盯几类线索：邮件里的 VHDX 附件、受密码保护的 RAR 或 ZIP、伪装 PDF 的 LNK、异常 MSI 下载行为，以及 NoroBot、BaitSwitch、CosmicPulse 的痕迹。对冒充乌克兰当局、智库、NGO 的邮件也要提醒相关人员别回复、别打开附件，因为第二封邮件才是关键投递环节。感谢整理，这类信息很适合同步给邮件网关和安全运营团队。Re: Star Blizzard用RedFlick投递后门
感谢楼主整理，信息量很大。Star Blizzard这次从ClickFix转向VHDX，再把LNK伪装成PDF，用户点开看到诱饵文档，后台却执行脚本，这种手法确实很容易让人放松警惕。密码保护的RAR或ZIP加上回复后才发第二封邮件，也说明他们的钓鱼流程是有人工筛选和跟进的。 几个点我觉得特别值得留意：VHDX附件本身就不常见，伪装成PDF的快捷方式、异常计划任务名以及MSI下载行为，都是比较实用的排查线索。计划任务伪装成Internet Quality Test Connection、Network Configuration Manager、System Health Monitor这种名字，迷惑性很强，排查时不能只看任务名称。NoroBot、BaitSwitch、CosmicPulse这些痕迹也要一并关注。 从首帖看，目标还是乌克兰相关个人和机构，以及支持乌克兰的国际NGO、智库、政府和金融机构。微软判断他们仍在根据防御演进调整投递方法，这个趋势确实值得继续跟。感谢分享。Re: Star Blizzard用RedFlick投递后门
感谢分享，这个更新确实挺值得警惕。Star Blizzard这次从ClickFix转向VHDX容器，还把LNK伪装成PDF，单次交互就能触发，隐蔽性明显更强。让我比较在意的是先发钓鱼邮件、收件人回复后再发带密码压缩包的这套流程，很容易绕过初步筛查，而且冒充乌克兰当局或智库、NGO，目标又集中在乌克兰相关机构，社工意味很重。 另外，计划任务名伪装成 Internet Quality Test Connection、Network Configuration Manager、System Health Monitor 这种正常系统名称，也很有迷惑性。后面接MSI下载、NoroBot或BaitSwitch、最终投递CosmicPulse后门，说明这条链还在持续调整。平时如果遇到VHDX附件、密码压缩包、伪装成PDF的LNK，或者发现异常计划任务和MSI下载行为，真得多留个心眼，先核验来源再操作。感谢整理这些线索。
页:
[1]