RedFlick Star Blizzard превращает старую фишинговую механику в более короткий путь к заражению: жертве достаточно открыть замаскированный ярлык, дальше цепочка разворачивается почти сама. По данным BleepingComputer, группировка Star Blizzard использует новый для себя способ доставки бэкдора CosmicPulse, а Microsoft уже связывает с активностью 2026 года минимум 13 крупных фишинговых кампаний против более чем 100 организаций.
Технически RedFlick не выглядит как магия из лаборатории будущего. Это скорее аккуратная сборка давно знакомых приемов: фишинговое письмо, архив с паролем, виртуальный диск VHDX, LNK-файл под видом PDF и набор команд, которые запускаются в скрытом окне. Но именно в такой сборке схема становится неприятной для корпоративной защиты: меньше ручных действий со стороны пользователя, больше автоматизации, больше шансов проскочить между правилами детекта.
Атака начинается с письма-приманки, например приглашения. Затем приходит второе сообщение с ZIP- или RAR-архивом, защищенным паролем. Внутри находится виртуальный диск VHDX, а на нем ярлык LNK, замаскированный под PDF-документ. Пользователь открывает файл, видит отвлекающий PDF, а в фоне Windows выполняет команду, которая скачивает и запускает MSI-установщик. Для человека это выглядит как очередной документ из переписки. Для атакующего это входная дверь.
MSI создает три запланированные задачи Windows с названиями, похожими на легитимные системные компоненты: Internet Quality Test Connection, Network Configuration Manager и System Health Monitor. Первая отправляет злоумышленникам имя компьютера или сети и имя пользователя, а также может запускать удаленную DLL. Вторая готовит WebDAV, чтобы удаленные ресурсы выглядели как файловые пути. Третья использует control.exe для выполнения следующего вредоносного этапа, размещенного удаленно.
Разделение на несколько задач важно не только для красоты архитектуры. Оно дробит атаку на роли: разведка, подготовка доступа, запуск полезной нагрузки. Для защитных систем это менее очевидный сценарий, чем один шумный бинарник, который сразу делает все подряд. В логах такие задачи могут выглядеть как странные, но не обязательно катастрофические события. Если команда безопасности перегружена алертами, именно такие серые зоны и живут дольше всего.
Следующий компонент в цепочке известен как NOROBOT или BAITSWITCH. Он поставляется в виде апплета панели управления с расширением .cpl и нужен для загрузки CosmicPulse. BAITSWITCH скачивает два ZIP-архива, один из которых содержит 64-битный пакет Python 3.8 и Python-файл, работающий как загрузчик. Этот загрузчик читает зашифрованный ключ из реестра, восстанавливает его через встроенный ключ в режиме AES-ECB, а затем использует результат для расшифровки полезной нагрузки CosmicPulse.
Сам CosmicPulse, по наблюдениям Microsoft, не получил принципиально новых возможностей по сравнению с описанием Google от октября 2025 года. Бэкдор по-прежнему может выполнять Python-код, переданный атакующим, скачивать и запускать файлы, а также забирать документы с зараженных систем. Иными словами, новизна не в финальном инструменте, а в доставке. Star Blizzard не обязательно нужно менять весь арсенал, если можно сделать путь до него короче и надежнее.
Контекст у этой истории вполне узнаваемый. Star Blizzard активна как минимум с 2017 года и известна постоянными экспериментами с доставкой вредоносной нагрузки. Раньше исследователи связывали ее с подходами вроде ClickFix и с использованием WhatsApp в фишинговых операциях. В ClickFix-сценариях от жертвы требовалось больше ручных действий. RedFlick Star Blizzard решает эту проблему грубо и практично: пользователь открывает один файл, дальше автоматика делает скучную работу за него.
Цели тоже не выглядят случайными. По данным Microsoft, кампании затрагивали украинских пользователей и организации, международные НКО, аналитические центры, госструктуры и финансовые организации, которые политически или финансово поддерживали Украину. Основной фокус наблюдений пришелся на США и Великобританию, но для русскоязычных IT-команд вывод прямой: если компания работает с международными партнерами, фондами, финсектором, медиа или государственными проектами, письма от якобы знакомых контактов уже нельзя считать рядовым фоновым шумом.
Для разработчиков и администраторов здесь важны не только IOC и названия конкретных задач. RedFlick Star Blizzard снова показывает, насколько опасна связка доверенной переписки, системных утилит Windows и форматов, которые пользователь не воспринимает как исполняемые. VHDX, LNK, MSI, CPL, WebDAV и запланированные задачи сами по себе не являются экзотикой. В этом и проблема: злоумышленники не ломают реальность, они пользуются ее штатными кнопками.
Практическая защита в этом случае довольно приземленная. Microsoft рекомендует фишинг-устойчивую аутентификацию, политики Conditional Access, усиленную защиту почты и проверку подозрительных сообщений через уже известные контакты, а не через данные из письма. EDR в режиме блокировки тоже важен: он может остановить вредоносные артефакты даже тогда, когда обычный антивирус их еще не классифицировал. Отдельно стоит мониторить создание запланированных задач с подозрительными именами, запуск control.exe для сетевых payload и активность WebDAV там, где она не нужна бизнес-процессам.
Главный тренд неприятно простой: фишинг становится не столько убедительнее, сколько короче по числу действий, которые должен совершить пользователь. Чем меньше кликов требуется для заражения, тем меньше шансов, что человек успеет насторожиться, а защита поймает цепочку в моменте. Следующий раунд такой борьбы, похоже, будет не вокруг одной вредоносной программы, а вокруг автоматизации доставки, где каждое лишнее действие жертвы для атакующего уже считается техническим долгом.