Russia's Star Blizzard Targets 100+ Organizations With Fake Event Invites to Deliver Backdoor
The Hacker News · 29 sept, 19:20
El grupo ruso Star Blizzard ha ejecutado más de 13 campañas desde enero dirigidas a más de 100 organizaciones, principalmente en EE.UU. y Reino Unido, utilizando invitaciones falsas a eventos para distribuir el backdoor CosmicPulse. El grupo, vinculado al FSB ruso, ha evolucionado sus técnicas: en 2025 usaba ClickFix, pero ahora emplea RedFlick, que abusa de las tareas programadas de Windows para instalar malware Python. Microsoft ha publicado indicadores de compromiso y consultas de caza para que las organizaciones, especialmente aquellas que trabajan en política ucraniana, detecten intrusiones.
Las campañas dirigidas principalmente a personas y organizaciones vinculadas a Ucrania comenzaron en enero con suplantaciones de autoridades ucranianas (avisos de auditoría fiscal y multas dirigidas a usuarios de Ukr.net). Posteriormente, Star Blizzard amplió sus tácticas: en marzo incluyó una campaña que redirigía a víctimas hacia DarkSword, un kit de exploit para iPhone. El grupo ha pasado de usar cuentas de correo gratuitas (Proton, Microsoft) a comprometer sitios WordPress y cPanel desde marzo para distribuir el malware.
La cadena de infección utiliza archivos de acceso directo (LNK) disfrazados de PDF que, al abrirse, descargan un instalador MSI de un servidor remoto. En versiones recientes, se crean tres tareas programadas con nombres que imitan componentes de red legítimos (Internet Quality Test Connection, Network Configuration Manager, System Health Monitor), siendo la primera la que establece comunicación con el servidor de comando y control y descarga CosmicPulse, un backdoor basado en Python. Microsoft ha identificado dos indicadores compartidos con un informe de junio sobre campañas contra organizaciones de la sociedad civil ucraniana: la dirección IP 103.160.59[.]97 y el dominio secure-dns-hub[.]com, que seguía activo en el momento de la publicación.
Puntos clave
- Star Blizzard ha lanzado 13 campañas desde enero dirigidas a más de 100 organizaciones en EE.UU. y Reino Unido
- El backdoor CosmicPulse utiliza tareas programadas de Windows disfrazadas de componentes de red legítimos
- Las invitaciones falsas suplantaban organizaciones de prestigio como Chatham House y el Atlantic Council
- El grupo ha migrado a usar cuentas comprometidas en WordPress y cPanel desde marzo, abandonando servicios de correo gratuito
- Defender XDR puede detectar RedFlick y CosmicPulse; se recomienda ampliar las búsquedas más allá de los 7 días de retención estándar