Microsoft araştırmacıları, Rus devlet aktörü Star Blizzard'ın CosmicPulse arka kapısını yüklemek için RedFlick adlı yeni bir dağıtım yöntemi kullandığını söylüyor. Bu yöntem yeni bir siber güvenlik tekniği değil; ancak grubun saldırıları otomatikleştirmesine ve kurbanların yapması gerekenleri azaltmasına yardımcı oluyor.
RedFlick, davet gibi görünen bir kimlik avı e-postasıyla başlıyor. Ardından parola korumalı bir ZIP veya RAR arşivi içeren ikinci bir ileti geliyor. Arşivde, PDF gibi gösterilen bir LNK kısayolu barındıran VHDX sanal diski bulunuyor. Kısayol açıldığında gizli bir pencerede komut çalışırken kurbana sahte bir PDF gösteriliyor. Komut, bakım bileşenleri gibi görünen üç zamanlanmış görev oluşturan bir MSI yükleyicisini indiriyor.
Bu görevler, saldırganların saldırının farklı aşamalarında tespit edilmekten kaçınmasına yardımcı oluyor. NOROBOT ve BAITSWITCH adlı sonraki aşama indiricisi, bir Denetim Masası uygulamacığı olarak geliyor ve CosmicPulse'ı getiriyor. Microsoft'a göre BAITSWITCH iki ZIP arşivi indiriyor; bunlardan biri Python 3.8 64-bit paketini ve kurtarılan bir şifreleme anahtarıyla yükün şifresini çözen bir Python başlatıcısını içeriyor.
Microsoft, CosmicPulse'ın Google'ın Ekim 2025 tarihli raporunda açıklanan yeteneklerini koruduğunu söylüyor. Bunlar arasında saldırganın sağladığı Python kodunu çalıştırarak dosya indirmek veya etkilenen sistemlerden belge almak da var. RedFlick için kurbanın kısayolu açması yeterliyken Star Blizzard'ın ClickFix saldırıları birden fazla manuel işlem gerektiriyordu.
Microsoft, 2026'nın başından bu yana çoğunlukla ABD ve Birleşik Krallık'ta 100'den fazla kuruluşu etkileyen en az 13 büyük ölçekli kimlik avı kampanyası gözlemlediğini söylüyor. Araştırmacılar, RedFlick kampanyalarının Ukraynalıları ve Ukrayna'yı destekleyen kuruluşları hedef aldığını belirtiyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.