Nueva táctica de Star Blizzard: RedFlick, una técnica de entrega de malware innovadora

Introducción

Star Blizzard, un actor de estado ruso, ha estado utilizando una nueva táctica de entrega de malware llamada RedFlick. Según Microsoft, esta técnica se ha utilizado para infectar a 80,000 freelancers en Estados Unidos desde el principio del año. La estrategia se basa en un correo electrónico de phishing que contiene un archivo ZIP o RAR con un disco virtual VHDX que contiene un archivo LNK disfrazado como un PDF.

Cómo funciona RedFlick

Cuando el usuario abre el archivo LNK, se ejecuta un comando en una ventana oculta mientras muestra un PDF falso al usuario. Este comando descarga e instala un archivo MSI que crea tres tareas programadas que parecen componentes de mantenimiento legítimos. Estas tareas incluyen un Internet Quality Test Connection, un Network Configuration Manager y un System Health Monitor. Cada una de estas tareas tiene un propósito específico: el Internet Quality Test Connection envía el nombre del ordenador y el nombre de usuario a los atacantes, el Network Configuration Manager prepara las capacidades de WebDAV en Windows, y el System Health Monitor ejecuta un payload remoto a través de control.exe.

Por qué importa

RedFlick es significativo porque permite a los atacantes automatizar sus ataques y reducir la interacción con los víctimas. Microsoft ha observado al menos 13 campañas de phishing grandes y distintas que han afectado a más de 100 organizaciones, principalmente en Estados Unidos y el Reino Unido. Estas campañas han estado dirigiéndose a individuos y instituciones ucranianas, así como a organizaciones internacionales que apoyan a Ucrania.

Qué puedes hacer

Microsoft recomienda que las empresas utilicen autenticación resistente a phishing, políticas de Acceso Condicional, protección de correo electrónico y verificar manualmente mensajes sospechosos a través de detalles de contacto establecidos. Además, el uso de soluciones de detección y respuesta en el extremo (EDR) en modo bloqueo puede prevenir infecciones incluso si los artefactos maliciosos no son detectados por el agente antivirus.

Sigue la evolución de las amenazas

Star Blizzard ha estado utilizando técnicas de phishing para infectar a 80,000 freelancers con malware en Estados Unidos. Aunque ha cambiado sus tácticas, técnicas y procedimientos, sigue utilizando estrategias para imitar contactos confiables y organizariones, y sigue dependiendo de proveedores de correo electrónico gratuitos para distribuir mensajes de phishing.

Con información de BleepingComputer.