گزارش‌های اخیر مایکروسافت (Microsoft) نشان می‌دهد که گروه هکری Star Blizzard، وابسته به سرویس امنیت فدرال روسیه (FSB)، در حال بازنگری در متدهای حمله خود است تا قابلیت شنود و جاسوسی را افزایش داده و دامنه اهداف خود را در میان دولت‌ها، اندیشکده‌ها و سازمان‌های غیرانتفاعی در سراسر جهان گسترش دهد.
تغییر در استراتژی حملات
طبق تحلیل‌های منتشر شده، این عامل تهدید (Threat Actor) از عملیات‌های متمرکز Spear-Phishing به سمت کمپین‌های فیشینگ در مقیاس بزرگتر حرکت کرده است. مایکروسافت مشاهده کرده است که این گروه اکنون از پلتفرم‌های ارسال انبوه ایمیل برای اتوماسیون حملات استفاده می‌کند تا احتمال موفقیت در نفوذ اولیه را با گسترش تعداد اهداف افزایش دهد.
بدافزار RedFlick و بک‌دور CosmicPulse
در این حملات، از بدافزار جدیدی به نام RedFlick استفاده می‌شود. ویژگی کلیدی RedFlick این است که فرآیند سرایت (Infection) آن تنها به یک تعامل ساده از سوی کاربر نیاز دارد که اصطکاک در مسیر نفوذ را به شدت کاهش می‌دهد. این بدافزار در واقع به عنوان یک تکنیک تحویل (Delivery Technique) عمل کرده و با ایجاد مجموعه‌ای از وظایف زمان‌بندی شده (Scheduled Tasks)، بک‌دور اختصاصی این گروه به نام CosmicPulse را مستقر می‌کند تا از شناسایی توسط سیستم‌های امنیتی بگریزد.
اهداف و متدهای فریب
- دامنه اهداف: علاوه بر اوکراین، موسسات مالی و دولت‌های حامی اوکراین هدف قرار گرفته‌اند. بیش از ۱۰۰ سازمان در ایالات متحده و بریتانیا تحت تأثیر این فعالیت‌ها بوده‌اند.
- طعمه‌های فیشینگ: رایج‌ترین متد، دعوت به رویدادهای انحصاری است، اما همچنین از موضوعاتی مانند حسابرسی‌های مالیاتی، اطلاعیه‌های پرداخت و جریمه‌ها برای فریب کاربران استفاده می‌شود.
گروه Star Blizzard پیش از این با نام‌های دیگری از جمله SEABORGIUM، Callisto Group، TA446 و COLDRIVER نیز شناخته شده است. تحلیلگران معتقدند تمرکز اولیه این گروه بر اوکراین احتمالاً برای آزمایش قابلیت‌های جدید بوده و اکنون این حملات به صورت جهانی گسترش یافته است.
