RedFlick：進化するStar Blizzardの攻撃手法

脅威アクターStar Blizzard（別名: ColdRiver, Seaborgium）は、2026年に入り、フィッシング攻撃およびマルウェア配信の手法（TTPs）を大幅に進化させていることが確認されました。
Microsoft Threat Intelligenceの分析によると、従来の標的型スピアフィッシング中心の運用から、大規模なフィッシングキャンペーンへと拡大を図っており、その核となる新たなマルウェア配信手法が「RedFlick」です。
RedFlickでは、被害者に複数回の複雑な操作を行わせる事態を回避し、一度のファイル開封操作をきっかけにバックグラウンドで自動的にCosmicPulseバックドア等を感染させる「自動化された多段階攻撃チェーン」を構築しています。
2026年1月以降、少なくとも13回の大規模キャンペーンが確認されており、米国・英国をはじめ、ウクライナ支援に関わる政府機関、外交団体、シンクタンク、NGO、金融機関など100以上の組織が標的となっています。
特徴的な部分をみてみましょう。

• 侵害されたWebサイト（cPanel / WordPress）の悪用
  • 内容: 攻撃者は自身で準備したドメインだけでなく、cPanelやWordPressなどの管理環境上の欠陥を突いて事前侵害した実在Webサイトを利用しています。
  • 影響: 侵害した正規ドメイン上のアカウントからメールを送信するため、SPF/DKIM/DMARCなどの送信ドメイン認証や送信元IPレピュテーションによる防御策を容易に迂回します。
• ２段階アプローチと多様な誘引（ルアー）ファイル
  • 内容: 初期コンタクト段階では悪意ある添付ファイルを含めず、信頼できる関係者を装ったメールで返信を誘います。やり取りが成立して標的を信用させた後、第2段階としてパスワード保護されたアーカイブ（ZIP/RAR）を送付します。
  • ファイル構造:
    • VHDXファイル形式の採用: 2026年初頭より、ZIP内の仮想ハードディスク（VHDX）イメージ内に悪意あるLNK（ショートカット）を配置する手法を使用。
    • 二重アーカイブ構成: パスワード保護されたRARをZIPでさらに包み込み、セキュリティスキャナーによる解析を回避。
• 「RedFlick」配信チェーンによる自動化と多段階実行
  被害者がLNKショートカット（PDFアイコン等に偽装）を実行すると、conhost.exe や curl などを利用して攻撃者サーバから本物のPDF（囮ファイル）と悪意あるインストーラー（MSI）をロードします。
  MSI実行後、Windowsの正規機能になりすました3つのスケジュールタスクが生成されます。
  • タスク①（Internet Quality Test Connection）: PC名やユーザ名を収集してC2サーバへ送信し、システム情報を偵察。
  • タスク②（Network Configuration Manager）: Remote WebDAV機能を有効化・準備し、攻撃者の遠隔リソースへの接続経路を維持。
  • タスク③（System Health Monitor）: control.exe を介して遠隔のコントロールパネルアプレット（.cpl）を実行し、ダウンローダー（NOROBOT / BAITSWITCH）を起動。
• Python環境を活用したCosmicPulseバックドアの復号・常駐
  • 内容: BAITSWITCHダウンローダーは、軽量化されたPython 3.8の実行環境（ZIP）と、Pythonで記述されたブートストラップスクリプトをダウンロードします。
  • 復号処理: Windowsレジストリ内に隠された暗号化されたデータ（ペイロード）を、埋め込まれたキーと暗号アルゴリズム（AES-ECB）を用いて復号し、本命である「CosmicPulse」バックドア本体を展開します。
  • バックドアの機能: CosmicPulseは任意のPythonコードを実行可能であり、さらなるファイルのダウンロード、コマンド実行、被害端末からの機密文書の奪取を行います。
• 人工的介入（被害者になる予定の人に実施させる操作）の最小化
  • 比較: かつての攻撃手法（例: ClickFix等）では、被害者自身に複雑なコマンド実行や複数回のクリックを行わせる必要がありました。
  • 進化: RedFlick手法では、一度LNKファイルをクリックさせれば、その後のWebDAV接続・タスク登録・Python環境の展開・バックドア実行までが全自動で行われます。被害者に異変を感じさせる隙を与えず、攻撃のスケール化（量産化）を実現しています。

Star Blizzardによる「RedFlick」攻撃チェーンの登場は、「既存のWindows標準機能（LNK, WebDAV, Scheduled Tasks, control.exe）を巧みに組み合わせ、ユーザの操作回数を削ぎ落としながら検知を迂回する」という、近年の標的型攻撃の高度化傾向を顕著に表しています。

防御側としては、従来のメールフィルターだけに依存せず、以下のような多角的な防御策を導入することが推奨されます。

• LNKおよびVHDX/ISO等のコンテナファイルの厳格な制御
  メールゲートウェイでのVHDXやRARなどの圧縮・イメージファイルの検査およびブロックポリシーの強化。
• LoLBins（Living off the Land Binaries）の監視
  curl.exe や control.exe が不審な外部通信を行っていないか、またはMSI等から未知のスケジュールタスクが自動登録されていないかのEDR（Endpoint Detection and Response）監視・アラート設計。
• フィッシング耐性のある多要素認証（MFA）の導入
  FIDO2キーなどを活用し、初期段階での資格情報（クレデンシャル）奪取およびなりすましメールの防止。

Star Blizzard refines phishing and malware delivery with the RedFlick technique
https://www.microsoft.com/en-us/security/blog/2026/09/29/star-blizzard-refines-phishing-and-malware-delivery-with-the-redflick-technique/