واحد تحلیل تهدیدات مایکروسافت (Microsoft Threat Intelligence) جزئیات جدیدی از فعالیت‌های فیشینگ و توزیع بدافزار توسط گروه Star Blizzard منتشر کرده است. این عامل تهدید که با نام‌های Callisto Group و SEABORGIUM نیز شناخته می‌شود، طبق گزارش آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA)، وابسته به مرکز ۱۸ سرویس امنیت فدرال روسیه است.
تغییر در استراتژی حملات و زیرساخت‌ها
از ژانویه ۲۰۲۶، مایکروسافت دست‌کم ۱۳ کمپین فیشینگ در مقیاس بزرگ را شناسایی کرده که بیش از ۱۰۰ سازمان را در سراسر جهان، به‌ویژه در ایالات متحده و بریتانیا هدف قرار داده‌اند. اهداف این حملات شامل افراد اوکراینی، سازمان‌های دولتی، سازمان‌های غیردولتی (NGOs) و اندیشکده‌های متمرکز بر سیاست‌های بین‌المللی است.
برای افزایش مقیاس حملات، Star Blizzard از وب‌سایت‌های هک شده‌ای که از WordPress یا cPanel استفاده می‌کنند برای ایجاد حساب‌های ایمیل استفاده کرده است. این در حالی است که این گروه پیش از این عمدتاً بر سرویس‌های رایگان مانند Proton Mail و حساب‌های مصرف‌کننده مایکروسافت تکیه داشت.
تکنیک RedFlick و بدافزار CosmicPulse
مهم‌ترین تغییر در متدهای این گروه، معرفی تکنیک RedFlick است. این روش از طریق ایجاد وظایف زمان‌بندی شده (Scheduled Tasks) برای استقرار بک‌دور (Backdoor) موسوم به CosmicPulse عمل می‌کند. این بدافزار در مراحل مختلف با نام‌های NOROBOT، BAITSWITCH و YESROBOT نیز شناخته شده است.
برخلاف کمپین‌های ClickFix در گذشته که نیازمند چندین اقدام از سوی کاربر بود، زنجیره سرایت جدید می‌تواند تنها با یک اقدام کاربر آغاز شود. تحلیلگران مایکروسافت موارد زیر را در زنجیره حمله مشاهده کرده‌اند:
- آرشیوهای ZIP یا RAR رمزگذاری شده حاوی تصاویر Virtual Hard Disk (VHDX) و فایل‌های Shortcut (LNK).
- استفاده از SSH.exe با پارامتر PermitLocalCommand برای دانلود و اجرای فایل‌های MSI.
- به‌کارگیری conhost.exe، curl و PowerShell برای بازیابی اجزای اضافی بدافزار.
- پنهان‌سازی داده‌های PowerShell کدگذاری شده با Base64 در داخل فایل‌های PDF.
تحلیل فنی استقرار بدافزار
در ماه آوریل، نصب‌کننده MSI این گروه سه وظیفه زمان‌بندی شده ایجاد کرد که در ظاهر به عنوان وظایف شبکه (Network Tasks) تعریف شده بودند. یکی از این وظایف اطلاعات دستگاه را به سرور فرمان و کنترل (C2) ارسال کرده و یک DLL تحت کنترل مهاجم را از طریق Control_RunDLL فراخوانی می‌کند. وظیفه دوم از اجرای مبتنی بر WebDAV پشتیبانی کرده و وظیفه سوم برای بازیابی و اجرای CosmicPulse طراحی شده است.
مایکروسافت برای مقابله با این تهدیدات، استفاده از احراز هویت مقاوم در برابر فیشینگ (Phishing-resistant authentication)، فعال‌سازی حالت Block در سیستم‌های EDR و تقویت کنترل‌های امنیتی در سطح ایمیل و End-point را توصیه می‌کند.
