گروه Star Blizzard، عامل تهدید (Threat Actor) وابسته به روسیه، در سال ۲۰۲۶ تغییرات قابل توجهی در متدهای عملیاتی خود ایجاد کرده است. این گروه با هدف جاسوسی سایبری از سازمان‌های بین‌المللی، اندیشکده‌ها و نهادهای دولتی، تکنیک جدیدی برای توزیع بدافزار تحت عنوان RedFlick معرفی کرده است که هدف اصلی آن دور زدن سیستم‌های شناسایی و تسهیل نصب بک‌دور (Backdoor) اختصاصی این گروه به نام CosmicPulse است.
تغییر در استراتژی دسترسی اولیه
برخلاف سال‌های گذشته که این گروه بر فیشینگ هدفمند (Spear-Phishing) متمرکز بود، اکنون به سمت کمپین‌های فیشینگ در مقیاس گسترده (Large-scale Phishing) حرکت کرده است. این تغییر رویکرد به دلیل استفاده از پلتفرم‌های ارسال انبوه ایمیل است که احتمال موفقیت در سرایت (Infection) را افزایش می‌دهد. همچنین، Star Blizzard برای ارسال ایمیل‌های فیشینگ، از حساب‌های ایجاد شده در وب‌سایت‌های هک شده (به‌ویژه سایت‌های مبتنی بر WordPress و CPanel) استفاده می‌کند تا شناسایی نشود.
تحلیل فنی تکنیک RedFlick
تکنیک RedFlick یک جهش در متدهای توزیع بدافزار است. در نسخه‌های قدیمی، زنجیره سرایت بر پایه ClickFix بود و نیاز به تعاملات متعدد کاربر داشت، اما RedFlick تنها با یک تعامل کاربر فعال می‌شود. روند اجرای این تکنیک به شرح زیر است:
- استفاده از VHDX: ارسال یک فایل دیسک مجازی (VHDX) که حاوی یک فایل LNK جعلی (در قالب PDF) است.
- اجرای اسکریپت: فایل LNK باعث اجرای یک فایل BAT می‌شود که از طریق SSH.exe، یک نصب‌کننده MSI را از سرور کنترل (C2) دانلود و اجرا می‌کند.
- استقرار CosmicPulse: نصب‌کننده MSI، یک فایل DLL را در قالب یک اپلت پنل کنترل (CPL) اجرا می‌کند که در نهایت منجر به نصب بک‌دور پایتونی CosmicPulse می‌شود.
پایداری در سیستم از طریق Scheduled Tasks
یکی از ویژگی‌های کلیدی RedFlick، ایجاد سه وظیفه زمان‌بندی شده (Scheduled Tasks) برای تضمین پایداری (Persistence) و دور زدن دفاعات است:
- وظیفه اول (Registration): اطلاعات اولیه سیستم و نام کاربر را به سرور C2 ارسال کرده و امکان اجرای DLLهای از راه دور را فراهم می‌کند.
- وظیفه دوم (Supporting): زیرساخت WebDAV را برای تسهیل ارتباطات HTTP/HTTPS با سرور مهاجم آماده می‌کند.
- وظیفه سوم (Downloader): مسئول دانلود و اجرای مراحل بعدی بدافزار از طریق control.exe است.
پنهان‌سازی در فایل‌های PDF
در مراحل پیشرفته‌تر، این عامل تهدید از استگانوگرافی (Steganography) برای پنهان کردن دستورات در فایل‌های PDF استفاده می‌کند. در این روش، یک اسکریپت PowerShell محتوای فایل PDF را جستجو کرده و داده‌های Base64 کدگذاری شده را استخراج و اجرا می‌کند تا لایه‌های امنیتی را دور بزند.
توصیه‌های دفاعی برای مدیران SOC و CISO
برای مقابله با این تهدیدات، پیاده‌سازی استراتژی‌های زیر توصیه می‌شود:
- احراز هویت مقاوم در برابر فیشینگ: استفاده از متدهای MFA پیشرفته و سیاست‌های Conditional Access.
- بهینه‌سازی EDR: فعال‌سازی حالت Block Mode در سیستم‌های Endpoint Detection and Response برای مسدود کردن سریع آرتیفکت‌های مخرب.
- مانیتورینگ رفتاری: رصد دقیق ایجاد Scheduled Tasks مشکوک و ارتباطات غیرعادی با پروتکل WebDAV.
- به‌روزرسانی فیلترهای ایمیل: فعال‌سازی قابلیت‌های Safe Links و Safe Attachments برای شناسایی آرشیوهای رمزگذاری شده مشکوک.
