Automatizáltabb támadási módszerre váltott az orosz államhoz kötött Star Blizzard
Az orosz államhoz köthető, 2017 óta aktív Star Blizzard új, RedFlick néven azonosított módszerrel terjeszti a CosmicPulse nevű hátsó kaput. A technika önmagában nem új, a csoport azonban ezzel jelentősen automatizálhatja a fertőzési folyamatot, és kevesebb közvetlen kapcsolatot kell fenntartania az áldozatokkal.
A támadás adathalász e-maillel kezdődik, például egy hamis meghívóval. Ezt egy második üzenet követi, amely jelszóval védett ZIP- vagy RAR-archívumot tartalmaz. A csatolmány kibontása után egy VHDX formátumú virtuális lemez jelenik meg. Ha a felhasználó ezt csatolja, majd megnyitja a rajta található, PDF-nek álcázott LNK-fájlt, elindul a támadási lánc.
A fájl közben valódi PDF-dokumentumot jelenít meg, hogy megtévessze a címzettet, a háttérben azonban rejtett ablakban parancsokat futtat. Letölt egy MSI-telepítőt, majd három, karbantartási komponensnek tűnő ütemezett feladatot hoz létre. Ezek együtt teljes irányítást adhatnak a számítógép felett, és előkészítik a további rosszindulatú műveleteket. A fertőzés így néhány kattintással elindul, utána pedig már nincs szükség újabb felhasználói közreműködésre. A védekezésben fontos a gyanús mellékletek kerülése, és érdemes közvetlenül ellenőrizni a feladónál, valóban ő küldte-e az üzenetet.