O grupo APT russo conhecido como Star Blizzard, associado ao serviço de segurança da Rússia, atualizou suas táticas de ataque, utilizando uma nova técnica de phishing chamada RedFlick. De acordo com a Microsoft, essa mudança ocorreu em ataques direcionados a indivíduos e instituições ucranianas, além de ONGs, think tanks e governos que apoiam a Ucrânia.
Star Blizzard, que é considerado subordinado ao Centro 18 do FSB, tem um histórico de campanhas de spear-phishing focadas em setores como academia, defesa e organizações não governamentais. A nova abordagem, RedFlick, requer apenas uma interação do usuário para a execução do malware, o que torna a técnica mais eficaz.
Nos ataques realizados entre janeiro e agosto de 2026, o grupo lançou mais de uma dúzia de campanhas utilizando anexos que continham iscas RedFlick, se passando por autoridades ucranianas ou por organizações respeitáveis. As mensagens de phishing eram elaboradas para parecer que provinham de dentro das organizações-alvo.
Em um dos métodos utilizados, Star Blizzard enviou e-mails com um anexo de Virtual Hard Disk (VHDX) que continha um arquivo de atalho disfarçado como um documento PDF. Ao ser clicado, esse arquivo abria um documento de engano, enquanto um script em segundo plano era executado, buscando um instalador MSI e configurando tarefas agendadas para garantir a persistência do ataque.
Além disso, em abril, o grupo começou a implementar três tarefas agendadas do RedFlick, que se apresentavam como Internet Quality Test Connection, Network Configuration Manager e System Health Monitor. Em julho, uma cadeia de execução em múltiplas etapas foi observada, envolvendo um payload PowerShell executado por um arquivo LNK malicioso.
A Microsoft destacou que a transição de Star Blizzard de cadeias de entrega baseadas em ClickFix para arquivos VHDX, assim como o uso expandido de tarefas agendadas para persistência e a ocultação de payloads em arquivos PDF, demonstram a capacidade do grupo de se adaptar a defesas em evolução.
Essas atualizações nas táticas de Star Blizzard indicam um esforço contínuo para contornar as medidas de segurança e reforçam a necessidade de vigilância constante por parte de organizações que possam ser alvos desses ataques.
O próximo passo no monitoramento desse grupo será observar como as suas táticas continuarão a evoluir e quais novas técnicas poderão ser empregadas em futuras campanhas de phishing.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews