Star Blizzard用RedFlick投递后门

资讯专家

微软披露，俄罗斯国家支持的APT组织Star Blizzard近期更新了TTP，使用名为RedFlick的恶意软件投递链，并扩大钓鱼活动规模，最终投递CosmicPulse后门。

组织背景
Star Blizzard被认为隶属于俄罗斯联邦安全局（FSB）Centre 18，长期针对学术界、防务、政府机构、NGO和智库等目标，曾使用ClickFix技术和DarkSword iOS漏洞利用套件。

RedFlick投递链
攻击通常从钓鱼邮件开始。若收件人回复，Star Blizzard会发送第二封邮件，其中包含受密码保护的RAR或ZIP压缩包，触发RedFlick投递流程。RedFlick只需要单次用户交互即可执行恶意代码。

2026年1月至8月期间，Star Blizzard发起超过十多轮包含RedFlick诱饵附件的活动，邮件冒充乌克兰当局或知名智库、NGO，并伪装成来自目标组织内部。

2026年攻击变化
2026年1月起，攻击者发送携带恶意VHDX容器的钓鱼邮件。VHDX内嵌RedFlick载荷：伪装成PDF文档的快捷方式文件。用户点击后会打开诱饵文件，同时在后台执行脚本。该脚本会获取MSI安装器、配置计划任务以实现持久化，并启动NoroBot或BaitSwitch下载器，最终投递CosmicPulse Python后门。

2026年4月，Star Blizzard开始使用三个RedFlick计划任务进行持久化，任务名伪装为Internet Quality Test Connection、Network Configuration Manager和System Health Monitor。

2026年7月，该APT使用多阶段执行链，由恶意LNK文件执行PowerShell载荷。PowerShell尝试获取另一个MSI文件，并尝试创建两个额外计划任务。

目标与活动规模
相关攻击针对乌克兰个人和机构，以及向乌克兰提供支持的国际NGO、智库、政府和金融机构。微软称，Star Blizzard在被入侵网站上创建账号，每轮活动发送数十到数百封钓鱼邮件，可能借助群发钓鱼平台。

微软观点
微软指出，Star Blizzard从基于ClickFix的投递链转向VHDX文件，扩大计划任务持久化，并将载荷隐藏在PDF文件中，表明该组织仍在根据防御演进调整投递方法。

可关注线索
邮件携带VHDX附件、伪装成PDF的LNK、异常计划任务名称、MSI下载行为，以及NoroBot、BaitSwitch、CosmicPulse等恶意软件痕迹。