Star Blizzard dùng thư mời giả để phát tán backdoor trên Windows
"Microsoft reported that Star Blizzard, a Russia-linked threat group, used fake event invitations and related phishing lures to deliver a Windows backdoor to more than 100 organizations, mainly in the U.S. and U.K., with at least one confirmed infection. The infection chain used LNK files, MSI installers, scheduled tasks, and a downloader to deploy the Python-based CosmicPulse backdoor; Microsoft published hunting guidance and indicators to help defenders detect the activity."
Đây là chiến dịch phishing có chủ đích nhằm cài backdoor và có ít nhất 1 ca nhiễm xác nhận. Các chỉ dấu như LNK/MSI, scheduled tasks và CosmicPulse giúp tăng khả năng phát hiện sớm.
Tổ chức có thể chịu rủi ro gián đoạn vận hành, rò rỉ email/tài khoản và tăng chi phí điều tra. Các đơn vị làm việc về Ukraine policy, NGO và think tank cần ưu tiên kiểm tra.
Microsoft cho biết nhóm đe dọa liên kết với Nga Star Blizzard đã dùng thư mời sự kiện giả và các mồi nhử phishing liên quan để phát tán backdoor trên Windows tới hơn 100 tổ chức, chủ yếu ở Mỹ và Anh. Ít nhất 1 máy tính đã bị nhiễm. Mục tiêu của chiến dịch chủ yếu là các tổ chức và cá nhân liên quan đến Ukraine.
Chuỗi lây nhiễm thường bắt đầu bằng tệp LNK giả dạng PDF, sau đó tải xuống MSI installer và tạo các scheduled tasks có tên giống thành phần hệ thống. Giai đoạn tiếp theo triển khai downloader để cài CosmicPulse, một backdoor viết bằng Python. Microsoft cũng ghi nhận các biến thể dùng ClickFix và hạ tầng C2 liên quan đến các miền/tài nguyên như secure-dns-hub[.]com và IP 103.160.59[.]97.
Khuyến nghị cho đội kỹ thuật: rà soát email mạo danh, kiểm tra các scheduled task nêu trên, tìm dấu hiệu Trojan:Script/RedFlick và Backdoor:Python/CosmicPulse, đồng thời mở rộng phạm vi truy vấn săn tìm thay vì chỉ xem lại 7 ngày như mặc định. Với thư mời hoặc tệp đính kèm đáng ngờ, nên xác minh qua kênh liên hệ đã biết trước khi mở.