俄罗斯APT组织Star Blizzard利用“RedFlick”感染链：从ClickFix到VHDX的自动化攻击升级

原创

网空闲话
网空闲话

网空闲话plus

2026年10月1日 07:06
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年9月29日，微软威胁情报团队发布报告，披露俄罗斯国家背景APT组织Star Blizzard自2026年1月以来采用新型恶意软件投递技术“RedFlick”，部署其专属CosmicPulse后门。该技术并非全新网络安全技术，而是该组织在投递方式上的重大演进：从需要多次手动交互的ClickFix，转向仅需打开一个伪装成PDF的LNK文件即可触发全自动感染链。RedFlick通过口令保护档案、VHDX虚拟磁盘、多计划任务持久化、控制面板小程序伪装和PDF载荷隐藏等手法，显著提升规避检测能力。2026年1月至8月，微软观察到至少13个大规模钓鱼活动，影响超过100个组织，主要位于美国和英国，目标包括乌克兰个人与机构、国际NGO、智库、政府及金融机构。本文综合三份参考材料，梳理RedFlick感染链的技术细节、落地机制、最新TTPs演变、影响评估与防御建议。

一、背景与归因

Star Blizzard自2017年起活跃，被美国网络安全和基础设施安全局（CISA）归因于俄罗斯联邦安全局（FSB）第18中心下属。该组织长期针对学术界、国防、政府机构、NGO和智库发动定向鱼叉式钓鱼，此前以ClickFix技术和DarkSword iOS漏洞利用工具包闻名。据微软报告，自谷歌威胁情报小组2025年10月发布关于Star Blizzard的COLDCOPY恶意软件报告后，该组织进一步调整初始访问与规避技术。2026年，其TTPs出现三项关键变化：从定向鱼叉式钓鱼转向大规模初始接触钓鱼；利用被入侵网站创建账号发送钓鱼邮件；更新恶意软件部署方式以安装CosmicPulse下载器。

二、RedFlick感染链的技术解剖与落地机制

RedFlick攻击始于钓鱼邮件，通常以邀请函、税务审计或罚款通知为主题。一旦收件人回复，Star Blizzard会发送第二封邮件，内含受口令保护的ZIP或RAR档案，口令以图片形式嵌入邮件正文，例如“LiveCrown8142”“LiteRaspberry9415”“BirdMouseCrab”。这种口令保护旨在绕过邮件安全网关的静态扫描。

档案解压后，受害者会看到VHDX虚拟磁盘。VHDX内部包含伪装成PDF的LNK快捷方式、隐藏目录中的BAT脚本和合法诱饵PDF。点击LNK后，系统在隐藏窗口启动conhost.exe，随后生成cmd.exe执行BAT脚本。BAT脚本先打开诱饵PDF迷惑受害者，同时调用SSH.exe并启用PermitLocalCommand，从远程服务器下载并执行MSI安装程序。

2026年1月，MSI仅创建单个计划任务；到4月，已演变为创建三个伪装成合法网络/维护组件的计划任务：

• Task 1“Internet Quality Test Connection”：将包含计算机名/网络名和用户名的UTF-16 Base64编码字符串发送至C2服务器，外泄主机信息；可通过Shell32.dll的Control_RunDLL远程执行攻击者DLL，并使用WebDAV UNC路径通过HTTP而非SMB获取载荷。
• Task 2“Network Configuration Manager”：为其他任务提供WebDAV支持，使Windows将UNC路径视为WebDAV资源，通过WebDAV重定向器和WebClient功能处理，底层通信使用HTTP/HTTPS。
• Task 3“System Health Monitor”：使用control.exe访问硬编码C2服务器上的远程路径并执行下一阶段载荷。

至少在一个事件中，第一或第三任务部署了CosmicPulse实例。该TTP与Digital Security Lab Ukraine（DLUA）2026年6月报告的活动存在重叠。

下一阶段载荷是名为NOROBOT或BAITSWITCH的下载器，以控制面板小程序（.cpl）DLL形式投递。它下载两个ZIP档案，其中一个包含Python 3.8 64位包和CosmicPulse引导程序。引导程序从注册表键HKEY_CURRENT_USER\\Software\\Classes\\.mollis读取加密AES密钥，使用AES-ECB模式下的嵌入式密钥恢复，再解码第二个ZIP中的CosmicPulse载荷（亦称YESROBOT）。CosmicPulse能力与谷歌2025年10月报告描述一致，包括执行攻击者提供的Python代码以下载运行文件或检索文档。

2026年7月，Star Blizzard进一步采用多阶段执行链：钓鱼邮件含嵌套在ZIP中的口令保护RAR，解压后暴露LNK。LNK使用conhost.exe和curl下载PDF，第二个PowerShell载荷搜索PDF中的魔法头cAB，提取后续208字节Base64数据并执行解码命令，尝试下载安装另一MSI，创建两个额外计划任务。8月中旬，该组织还使用隐写术隐藏标识符，并在8月活动中引入向每个目标发送唯一ZIP文件的新TTP。

三、攻击目标、规模与最新TTPs演变

2026年1月至8月，微软观察到至少13个不同的大规模钓鱼活动，每活动发送数十至数百封邮件，影响超过100个组织，主要位于美国和英国。目标包括乌克兰个人与机构，以及政治上或财政上支持乌克兰的国际NGO、智库、政府、金融机构。早期1至2月活动针对乌克兰Ukr.net用户，伪装乌克兰当局发送税务审计或罚款通知；3月起扩展至全球，使用会议邀请、智库活动等诱饵，并伪装成目标组织内部通信。3月“Atlantic Council Closed-Door Strategic Discussion”活动还向回复者发送DarkSword iOS后门安装链接。ProofPoint在3月报告称该组织针对易受攻击的Apple iOS设备部署DarkSword后门。微软评估，该组织先针对乌克兰测试新能力，再扩展至全球。

代表性IOC包括：一月活动ZIP哈希9707a869...、VHDX哈希1f2096ff...；六月Chatham House邀请RAR哈希699e92a9...，口令LiveCrown8142；七月USUBC圆桌RAR哈希24b6e36a...，口令LiteRaspberry9415；八月Payment Advice Note.zip哈希dd98dbc1...，口令BirdMouseCrab。域名如etia[.]ca、groy[.]cc、gliderrompercycl[.]com、muvb[.]net、divekickspolic[.]org、secure-dns-hub[.]com等，IP如103.245.231[.]248、2.57.241[.]246、89.125.209[.]168、103.245.231[.]79、45.84.59[.]66、103.160.59[.]97。

四、影响评估与防御建议

RedFlick的核心影响在于：将感染链交互需求降至单次点击，显著提高攻击效率与成功率；多计划任务、WebDAV、CPL伪装、PDF隐藏等设计增强规避检测能力；大规模钓鱼扩大初始目标池，提升作战可扩展性。微软指出，这些变化表明Star Blizzard持续适应防御演变，同时维持其长期网络间谍目标。

防御方面，微软建议高风险组织采用抗钓鱼认证、条件访问策略、Microsoft Defender for Office 365、Safe Links与Safe Attachments；以阻止模式运行EDR，启用云交付保护、自动样本提交、持续访问评估、零小时自动清除（ZAP）、网络保护；配置攻击面减少规则，限制非必要出站SSH连接。检测覆盖包括Trojan:Script/RedFlick、Backdoor:Script/CosmicPulse、Backdoor:Python/CosmicPulse等。狩猎查询可关注conhost.exe调用curl、ssh.exe启用PermitLocalCommand=yes与LocalCommand=cmd.exe，以及“Internet Quality Test Connection”“Network Configuration Manager”“System Health Monitor”等计划任务名称。

五、结论

RedFlick标志着Star Blizzard从ClickFix向更自动化、更隐蔽的VHDX感染链转型。其成功可能促使其他APT组织效仿。对防御方而言，仅靠传统杀毒或静态邮件过滤难以应对，需结合抗钓鱼认证、EDR阻止模式、网络保护与用户安全意识培训。后续应持续监控该组织是否进一步调整投递方式、扩大目标范围或整合新漏洞利用工具。

参考文献

1. Bill Toulas. Russian state hackers use new RedFlick technique to push malware. BleepingComputer, 2026-09-30. https://www.bleepingcomputer.com/news/security/russian-state-hackers-use-new-redflick-technique-to-push-malware/
2. Ionut Arghire. Russian APT Star Blizzard Uses ‘RedFlick’ Infection Chain in Recent Attacks. SecurityWeek, 2026-09-30. https://www.securityweek.com/russian-apt-star-blizzard-uses-redflick-infection-chain-in-recent-attacks/
3. Microsoft Threat Intelligence. Star Blizzard refines phishing and malware delivery with the RedFlick technique. Microsoft Security Blog, 2026-09-29. https://www.microsoft.com/en-us/security/blog/2026/09/29/star-blizzard-refines-phishing-and-malware-delivery-with-the-redflick-technique/