С января 2026 года группировка Star Blizzard заметно перестроила свою работу. Вместо точечных атак на конкретных людей она перешла к массовым фишинговым рассылкам. Одновременно появилась новая схема доставки вредоносного кода, известная как RedFlick. Задачи группировки не изменились: это по-прежнему кибершпионаж. Основные цели - граждане и учреждения Украины, а также зарубежные аналитические центры, неправительственные организации, госструктуры и финансовые институты, поддерживающие Киев.
Описание
Группировка регулярно меняет приёмы, чтобы оставаться незамеченной, и обычно делает это после публичных разоблачений. После отчёта Google Threat Intelligence Group об инструменте COLDCOPY в октябре 2025 года атакующие пересмотрели подход к первичному доступа. До 2024 года ставка делалась на целенаправленный фишинг: злоумышленник сначала завязывал переписку, а затем присылал ссылку на поддельную страницу входа. Теперь логика другая - важен охват, а не избирательность.
Главное изменение касается подготовки заражения. Раньше жертве требовалось выполнить несколько действий, прежде чем вредоносная программа попадала на устройство. Техника RedFlick, которую аналитики Microsoft описывают в свежем отчёте, сокращает цепочку до одного действия пользователя. Вместе с ростом объёмов рассылок это заметно повышает шансы на успех. По наблюдениям Microsoft, в 2026 году кампании затронули более ста организаций, преимущественно в США и Великобритании.
Сценарий почти всегда одинаков. Первое письмо приходит без вложения и имитирует обращение знакомого человека, дипломата или представителя уважаемой организации. Чаще всего поводом служит приглашение на закрытое обсуждение или конференцию. В 2026 году в ходу были приглашения на закрытые круглые столы по европейской безопасности, на форумы о будущем миротворческих операций и на конференцию Chatham House в Лондоне. Для украинских адресатов темы подбирали бытовые: уведомление о налоговой проверке, штраф, отключение воды. Если человек отвечает, ему присылают второе письмо с защищённым паролем архивом. Пароль набирают в виде картинки - например, из двух-трёх слов. Такой приём мешает автоматическим фильтрам распознать вложение. Иногда письма выглядят как внутренняя переписка самой организации-цели, что усложняет проверку отправителя.
Отдельного внимания заслуживает инфраструктура рассылок. Раньше Star Blizzard заводила ящики на бесплатных сервисах. С марта 2026 года группировка создаёт аккаунты на взломанных сайтах, работающих на системах управления содержимым WordPress и CPanel. Одно и то же имя учётной записи повторяется на разных доменах. Аналитики Microsoft оценивают уверенность в том, что эти сайты скомпрометированы, как высокую. Масштаб тоже вырос: если прежде речь шла о единичных адресатах, то теперь счёт идёт на десятки, а иногда и сотни писем за одну кампанию. Смещение фокуса с Украины на глобальные цели может говорить о том, что первые кампании служили проверкой новых возможностей.
Менялись и способы доставки. В январе 2026 года злоумышленники присылали образ виртуального жёсткого диска внутри защищённого архива. Внутри лежал ярлык, замаскированный под документ, и настоящий PDF, который открывался для отвлечения внимания. Запуск ярлыка включал скрытую установку программы CosmicPulse - вредоносной программы удалённого управления. В апреле схема усложнилась: установщик создавал сразу три задания в планировщике, замаскированных под сетевые утилиты. Одно отправляло на сервер управления сведения об устройстве, второе готовило канал связи, третье запускало загрузчик. Летом появился ещё один вариант: полезная нагрузка пряталась внутри документа PDF, а скрытый скрипт извлекал её оттуда и запускал. Теперь жертве достаточно один раз открыть ярлык.
Параллельно группировка расширяла арсенал. В марте ProofPoint сообщила об атаках на уязвимые устройства Apple с целью установки другой программы - DarkSword. В середине августа 2026 года в одной из кампаний применили стеганографию (сокрытие данных внутри безобидных файлов), чтобы спрятать служебные метки. Все эти приёмы объединяет одно: атакующие сокращают число шагов, которые должен сделать человек, и переносят основную работу на автоматику.
Последствия для организаций ощутимы. Успешный взлом даёт доступ к переписке, внутренним документам и учётным данным сотрудников. Для аналитических центров и неправительственных организаций это означает утечку сведений о готовящихся инициативах и контактах. Для госструктур - компрометацию служебных аккаунтов. Финансовые организации рискуют потерять данные о платежах и клиентах. Отдельная проблема - репутационная: письмо приходит будто бы от коллеги, и сотрудник может отвечать злоумышленнику, не подозревая об этом. Известны случаи, когда рассылки уходили от имени самой организации, куда они и адресовались.
Защита строится на нескольких принципах. Стоит включить устойчивую к фишингу многофакторную аутентификацию и ограничить доступ к учётным записям по условиям входа. Антифишинговые фильтры должны проверять вложения и ссылки в момент открытия, а не только при получении письма. Полезно обучать сотрудников: письмо без вложения от незнакомца с приглашением на закрытое мероприятие - повод проверить отправителя по известному телефону. Организациям из зоны риска аналитики советуют блокировать запуск подозрительных файлов и контролировать исходящие подключения к внешним узлам. Регулярное обновление сайтов и систем управления содержимым снижает риск того, что корпоративный ресурс станет рассылочной площадкой.
Star Blizzard в очередной раз показала готовность перестраиваться. Отказ от точечного фишинга в пользу массовых рассылок и упрощение схемы заражения говорят о ставке на объём, а не на избирательность. Прежнее правило "не открывать вложения" уже не покрывает новые сценарии, где достаточно одного неосторожного клика.
Индикаторы компрометации
