Microsoft Threat Intelligence повідомила про нову техніку доставки шкідливого ПЗ RedFlick, яку спостерігає з січня 2026 року. Вона поєднує фішингові повідомлення, захищені паролем архіви та механізм запланованих завдань Windows для розгортання або запуску шкідливих компонентів. За оцінкою Microsoft, цей ланцюжок застосовували для доставки Python-бекдору CosmicPulse.
Парольний архів стає частиною фішингового ланцюжка
У кампаніях RedFlick використовували фішингові листи із захищеними паролем архівами. Такий архів є не окремою деталлю листування, а елементом послідовності, яка має привести до доставки шкідливого ПЗ на пристрій Windows.
Microsoft вказує, що в цій техніці також задіяні заплановані завдання Windows. Їх використовують для доставки або запуску компонентів шкідливого ПЗ. Отже, ланцюжок не зводиться лише до надсилання вкладення: після фішингового контакту в ньому використовується штатний механізм операційної системи.
RedFlick потребує менше дій, ніж попередні ClickFix-ланцюжки
Ключова відмінність RedFlick, на яку звертає увагу Microsoft, полягає у скороченні кількості дій, необхідних від жертви, порівняно з попередніми ланцюжками ClickFix. Це важливо для оцінки ризику: що менше кроків має виконати людина, то менше моментів, коли підозрілу активність можна помітити або зупинити.
Водночас оприлюднений опис не означає, що будь-який парольний архів або будь-яке завдання Windows є ознакою атаки. І архіви, і планувальник завдань можуть застосовуватися у звичайній роботі програм та операційної системи.
CosmicPulse Microsoft описує як Python-бекдор
RedFlick пов’язують із розгортанням CosmicPulse, який Microsoft описує як шкідливий бекдор на Python. Наявність бекдору означає, що мета ланцюжка полягає не лише у відкритті архіву чи запуску окремого файла, а у доставці компонента для подальшого несанкціонованого доступу.
У доступному описі не наведено повного переліку можливостей CosmicPulse. Тому коректно розглядати його саме як бекдор, не приписуючи йому додаткових функцій поза даними Microsoft.
Зв’язок RedFlick зі Star Blizzard є оцінкою Microsoft
Microsoft пов’язує використання RedFlick з угрупованням Star Blizzard, яке характеризує як російського державного актора та у своєму звіті посилається на попередню атрибуцію CISA. Це оцінка аналітиків Microsoft, а не універсальна характеристика всіх можливих операцій, які можуть бути пов’язані з цією назвою.
Висновки компанії стосуються кампаній, які вона спостерігала у 2026 році. Для користувачів і адміністраторів головний практичний контекст полягає в тому, що звичні елементи Windows можуть входити до фішингового ланцюжка, але їхня присутність сама по собі не підтверджує компрометацію.