Российская группировка Star Blizzard атаковала более 100 организаций через фальшивые приглашения
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Российские государственные хакеры из группировки Star Blizzard с января атаковали более 100 организаций, используя фальшивые приглашения на мероприятия для доставки бэкдора на Windows, сообщает Microsoft. Кампании, направленные на людей и организации, связанные с Украиной, затронули в основном организации в США и Великобритании. Заражён как минимум один компьютер, но число скомпрометированных организаций не раскрывается.
Ключевые факты
- Microsoft связала кампании со Star Blizzard — российской государственной хакерской группировкой, связанной с Центром 18 ФСБ России.
- С января кампании затронули более 100 организаций, в основном в США и Великобритании.
- Microsoft насчитала как минимум 13 крупных кампаний в этом году, каждая с десятками или сотнями писем, в дополнение к обычному целевому фишингу группировки.
- С марта кампании используют почтовые аккаунты на сайтах WordPress и cPanel, которые, по высокой уверенности Microsoft, группировка взломала для этой цели.
- В 2025 году группировка доставляла вредоносное ПО через фальшивые CAPTCHA-страницы методом ClickFix; в этом году она перешла на метод, который Microsoft называет RedFlick, использующий запланированные задачи для установки бэкдора CosmicPulse.
Тактика кампаний
В приглашениях в качестве организаторов указаны известные аналитические центры и НПО, такие как Chatham House и Atlantic Council. Многие письма составлены так, чтобы выглядеть как отправленные изнутри организации-цели. Первое письмо обычно не содержит вложения; если цель отвечает, группировка отправляет защищённый паролем архив RAR или ZIP, при этом пароль показан на изображении. Первые кампании в январе и феврале выдавали себя за украинские власти и рассылали фальшивые уведомления о налоговых проверках и штрафах пользователям украинского почтового сервиса Ukr.net. Позднее среди приманок были уведомление об отключении воды для отелей в Киеве и уведомление о выплатах для сотрудников международной финансовой организации.
Цепочка заражения
Microsoft отследила несколько версий цепочки заражения; во всех из них атаку инициирует файл ярлыка (LNK), замаскированный под PDF, а пакет Windows Installer (MSI) настраивает запланированные задачи. Одна мартовская кампания отличалась: ответившим на приглашение от имени Atlantic Council отправляли ссылку на DarkSword — набор эксплойтов для iPhone — вместо бэкдора для Windows, сообщает Microsoft. Proofpoint сообщила о письмах от имени Atlantic Council от этой группировки в марте, а также о резком росте объёма её рассылки. Trellix обнаружила 4 таких письма, отправленных 26 марта; её уверенность в том, что письма вели к DarkSword, средняя, поскольку страницы с эксплойтами были офлайн, а код эксплойта не был восстановлен.
5 источников
Время · отставание