Russian state hackers use new RedFlick technique to push malware

RedFlick : Une nouvelle tactique d’automatisation pour le groupe Star Blizzard

Le groupe de menace russe « Star Blizzard » a déployé une nouvelle technique baptisée RedFlick pour automatiser l’installation du backdoor CosmicPulse, réduisant ainsi l’interaction nécessaire de la part de la victime.

Points clés :

• Vecteur d’attaque : Campagnes de phishing par e-mail incitant à ouvrir une archive (ZIP/RAR) contenant un disque virtuel (VHDX).
• Déguisement : Un fichier LNK est maquillé en PDF ; son ouverture lance simultanément un PDF légitime (leurre) et un script malveillant en arrière-plan.
• Automatisation : Contrairement aux méthodes précédentes, une seule action de la victime suffit à déclencher toute la chaîne d’infection.
• Persistance : L’attaque installe trois tâches planifiées déguisées en composants de maintenance Windows pour assurer le téléchargement des charges utiles secondaires (NOROBOT/BAITSWITCH) et l’exécution finale de CosmicPulse.
• Cibles : Institutions ukrainiennes, gouvernements, ONG et organismes financiers soutenant l’Ukraine, principalement au Royaume-Uni et aux États-Unis.

Vulnérabilités :

• Aucune CVE spécifique n’est exploitée ; l’attaque repose sur l’abus de fonctionnalités légitimes de Windows (VHDX, MSI, WebDAV, tâches planifiées et applets du Panneau de configuration).

Recommandations :

• Authentification : Implémenter une authentification résistante au phishing.
• Accès : Appliquer des politiques d’accès conditionnel rigoureuses.
• Protection email : Renforcer les outils de filtrage des courriels et vérifier systématiquement les messages suspects via des canaux de communication officiels.
• Détection : Déployer des solutions de type EDR (Endpoint Detection and Response) en mode blocage pour identifier et stopper les comportements malveillants, même en l’absence de signature antivirus connue.

Source