Star Blizzard、被害者の操作を減らすRedFlick型マルウェア配布を採用か

偽PDFショートカットから自動で感染処理

報告によると、RedFlickはフィッシングメールから始まり、パスワード保護されたアーカイブへ誘導する。
このアーカイブには仮想ディスクとPDFに偽装したショートカットが含まれ、ショートカットを開くとコマンドが実行され、スケジュールされたタスクの作成、次段階のペイロード取得、最終的なCosmicPulseバックドアの取得・実行へ進むとされる。

Microsoftは2026年初頭以降、100超の組織に影響した少なくとも13件の大規模フィッシング活動を確認したとしており、主な影響先は米国と英国だったという。
RedFlickの活動は、ウクライナの個人・組織や、ウクライナを政治的または財政的に支援する組織を標的にしたと説明されている。

報告では、RedFlickはサイバーセキュリティ上の新技術そのものではなく、Star Blizzardにとって新しい配布手法とされる。
被害者が複数の手作業を行う必要があった同グループのClickFix攻撃と対比されている。

Microsoftの研究者によると、Star Blizzardは悪意あるショートカットを被害者が開いた後のマルウェア配布をより自動化するため、RedFlickを採用した。
これにより、ClickFix攻撃と比べて被害者に必要な操作が減るという。

被害者に必要な追加操作を削減

報告された変化は、Star Blizzardの配布手順に関するものだ。
悪意あるショートカットが開かれた後は、被害者による追加の手作業をより少なくして感染処理を進める設計だという。
また、攻撃の各段階に異なる役割を持つ複数のスケジュールタスクが使われるとされる。