Star Blizzard đổi sang kỹ thuật RedFlick để phát tán phishing và malware
"Microsoft reports that the Russian state-linked threat actor Star Blizzard refined its 2026 phishing and malware delivery operations by shifting from targeted spear phishing to larger-scale campaigns and by using compromised websites to send phishing emails. The actor adopted a new RedFlick delivery technique that uses scheduled tasks to install the CosmicPulse backdoor with only one user interaction, improving evasion and increasing compromise likelihood; no CVE is mentioned."
Tăng rủi ro xâm nhập ban đầu và cài backdoor với ít tương tác hơn; kỹ thuật RedFlick có thể né phát hiện tốt hơn.
Có thể gây gián đoạn vận hành, rò rỉ dữ liệu và tăng chi phí ứng phó; các tổ chức trong phạm vi nhắm mục tiêu cần giám sát chủ động.
Microsoft cho biết nhóm đe dọa có liên hệ với nhà nước Nga Star Blizzard đã thay đổi cách thức tấn công trong năm 2026, từ spear phishing nhắm mục tiêu sang các chiến dịch phishing quy mô lớn hơn. Nhóm này cũng được ghi nhận sử dụng website bị xâm nhập để tạo tài khoản và gửi email lừa đảo, nhằm tăng khả năng tiếp cận nạn nhân và giảm nguy cơ bị phát hiện.
Điểm đáng chú ý là kỹ thuật phát tán mới RedFlick. Theo Microsoft, chuỗi tấn công này dùng scheduled tasks để cài CosmicPulse backdoor, chỉ cần một lần tương tác của người dùng thay vì nhiều bước như chuỗi ClickFix trước đây. Cách triển khai mới giúp giảm “ma sát” trong quá trình xâm nhập và có thể làm tăng tỷ lệ chiếm quyền thành công.
Hoạt động này tiếp tục nhắm vào cá nhân và tổ chức tại Ukraine, cùng các NGO, think tank, cơ quan chính phủ và một số tổ chức liên quan đến chính sách quốc tế. Microsoft cho biết đã quan sát ảnh hưởng tới hơn 100 tổ chức, chủ yếu ở Mỹ và Anh.
Khuyến nghị: rà soát email phishing, kiểm tra dấu hiệu tài khoản/website bị chiếm dụng, giám sát scheduled tasks bất thường và triển khai các phát hiện từ Microsoft Defender for Endpoint. Tổ chức cũng nên tăng cường xác thực đa yếu tố, lọc email và quy trình cảnh báo sớm cho người dùng.