Star Blizzard, связанная с Россией APT-группа, сменила тактику фишинга: вместо ClickFix она использует RedFlick, чтобы доставлять бэкдор CosmicPulse через меньшее число действий со стороны жертвы. Для русскоязычных IT-команд это не абстрактная история про геополитику, а практический сигнал: фишинг снова становится проще для атакующего и менее заметным для защиты.
По данным Dark Reading, Microsoft Threat Intelligence зафиксировала изменение в кампаниях группы с января 2026 года. Под ударом остаются организации и люди, связанные с Украиной: НКО, аналитические центры, госструктуры, журналисты, эксперты по России и участники закрытых дискуссий о безопасности, дипломатии, экономике и политике.
Главное отличие RedFlick от прежней схемы ClickFix — меньше трения. В ClickFix жертве нужно было выполнить несколько инструкций, чтобы цепочка заражения добралась до CosmicPulse. RedFlick сокращает путь до одного пользовательского действия: открыть приманку или архив, после чего Windows-компоненты вроде conhost.exe, cmd.exe, MSI-инсталлятора и планировщика задач берут на себя выполнение цепочки.
В типичном сценарии пользователь получает защищенный паролем ZIP- или RAR-архив. Внутри лежит LNK-файл, замаскированный под документ, часто под PDF. После запуска ярлык дергает штатные утилиты Windows, создает запланированные задачи и запускает этапы доставки вредоносной нагрузки. Для SOC это неприятный формат: часть активности выглядит как обычная жизнь Windows, а не как эффектный запуск неизвестного бинарника с красной лампочкой сверху.
Microsoft описывает и другой вариант цепочки, замеченный в июле. В нем Star Blizzard прятала данные PowerShell-нагрузки внутри внешне легитимного PDF-документа. Дальше схема снова выходила на запланированные задачи и CPL-загрузчик CosmicPulse. Сам бэкдор в этой истории не новый, но упаковка меняется быстро: за несколько месяцев группа снизила зависимость от «послушности» жертвы и стала активнее использовать доверенные механизмы операционной системы.
Контекст важен. Star Blizzard, также известная как ColdRiver и Callisto, активна как минимум с 2017 года. CISA связывала ее с Центром 18 ФСБ. В 2024 году Microsoft и Минюст США провели совместную операцию против инфраструктуры группы и изъяли 41 интернет-домен. Но классическая проблема с APT никуда не делась: домены можно отобрать, а привычку хорошо писать письма-приманки — нет.
С января Microsoft насчитала 13 отдельных масштабных фишинговых кампаний Star Blizzard. Раньше группа чаще работала точечно: подбирала цель, изучала контекст, писала узкое spear-phishing письмо. Теперь масштаб вырос до сотен писем на кампанию. Приманки остались узнаваемыми: налоговые органы, финансовые организации, крупные think tank, внутренние письма якобы от самой атакуемой организации, приглашения на закрытые мероприятия.
Для бизнеса здесь две новости, и обе так себе. Первая: атаки против НКО, медиа и аналитиков легко переезжают в корпоративную среду, если у компании есть украинские проекты, подрядчики, исследовательские партнеры или публичная позиция. Вторая: привычная проверка «не скачал ли пользователь подозрительный exe» уже слишком бедная модель угроз. Нужно смотреть на LNK, архивы с паролем, запуск системных утилит, создание задач, PowerShell-сценарии и сетевые обращения после клика.
Рекомендации Microsoft звучат без сюрпризов, но в этом случае именно скучная база решает: фишинг-устойчивая аутентификация, conditional access, антифишинговая фильтрация почты и сайтов, EDR в блокирующем режиме, браузеры с защитой от вредоносных страниц. Отдельно стоит проверять не только момент клика, но и весь путь после него: появились ли новые scheduled tasks, стартовал ли странный PowerShell, отработал ли CPL-компонент, ушел ли процесс за полезной нагрузкой.
Для разработчиков и DevOps-команд вывод тоже прямой: безопасность рабочих станций больше нельзя отдавать только «почтовикам» и инструкциям по цифровой гигиене. Если сотрудники получают документы от внешних партнеров, участвуют в грантовых, исследовательских или международных проектах, цепочки вроде RedFlick должны попадать в threat modeling наравне с уязвимостями в веб-приложениях. Особенно там, где у пользователя есть доступ к репозиториям, CI/CD, секретам и облачным консолям.
Star Blizzard не изобрела новый класс атак, она сделала старый фишинг менее капризным: меньше кликов, больше системных утилит, больше маскировки под нормальную активность Windows. Если эту механику подхватят другие группы, защитникам придется тестировать не письмо как единичное событие, а всю цепочку компрометации после первого неудачного клика.
