Vinculados al estado ruso han ampliado una operación de phishing utilizando una nueva cadena de entrega llamada RedFlick para atacar a más de 100 organizaciones. Esta campaña, detectada entre enero y agosto de 2026, se caracteriza por sustituir los adjuntos maliciosos evidentes por conversaciones que simulan ser correspondencia profesional ordinaria.

Vnculados al estado ruso han expandido una operación de phishing que utiliza una nueva cadena de entrega llamada RedFlick para llegar a más de 100 organizaciones.

La campaña sustituye el típico archivo adjunto malicioso evidente por una conversación que parece una correspondencia profesional ordinaria.

La actividad se registró en al menos 13 campañas desde enero hasta agosto de 2026, afectando principalmente a organizaciones en los Estados Unidos y el Reino Unido.

Entre los objetivos se encontraban grupos gubernamentales, diplomáticos, de investigación, de políticas públicas, periodísticos y financieros con trabajos relacionados con Ucrania.

Analistas de Field Effect señalaron que la operación refleja un cambio más amplio de Star Blizzard, también conocido como ColdRiver o Callisto, pasando del spear-phishing restringido hacia campañas de contacto inicial más amplias. Este cambio permite a los operadores identificar a las personas dispuestas a interactuar antes de que envíen los archivos dañinos.

Field Effect indicó en un informe que se utilizaron sitios web comprometidos para crear cuentas destinadas a la distribución de correos electrónicos de phishing.

Este enfoque se basa en el historial del grupo adaptando sus señuelos, incluyendo ataques maliciosos con códigos QR de WhatsApp dirigidos a objetivos de alto interés.

Rusos atacan a más de 100 organizaciones

El primer mensaje no contiene ningún archivo adjunto, malware ni exploit. En su lugar, los atacantes intentan iniciar una discusión, explotando a menudo el ritmo normal de invitaciones, intercambios de políticas, correspondencia financiera, colaboración en investigaciones o intercambio de documentos.

Una respuesta indica que el destinatario puede confiar en el remitente y abre la puerta a la siguiente etapa. El mensaje de seguimiento contiene un archivo RAR o ZIP protegido por contraseña, mientras que la contraseña aparece como una imagen en el correo electrónico.

Esta disposición puede evitar que los productos de seguridad inspeccionen el contenido y hace que el archivo parezca más creíble porque llega dentro de un intercambio ya existente. Tácticas similares de phishing con archivos protegidos por contraseña se han utilizado para reducir la visibilidad del escaneo de correos electrónicos.

Una vez abierto, el archivo puede contener un disco virtual VHDX o un acceso directo de Windows, conocido como archivo LNK, disfrazado de documento PDF. Los archivos ejecutan scripts y utilidades legítimas de Windows para descargar más componentes desde una infraestructura controlada por el atacante.

Este abuso de un acceso directo similar a un documento se asemeja a ataques previos con PDF y LNK weaponizados que ocultaban acciones dañinas detrás de un archivo señuelo.

A partir de abril, los instaladores de RedFlick crearon tareas programadas, recopilaron detalles básicos del sistema, habilitaron el acceso WebDAV y obtuvieron material utilizado para instalar el backdoor CosmicPulse.

Las tareas programadas pueden darle a un atacante una forma fiable de volver a ejecutar código, mientras que WebDAV es un método compatible con Windows para acceder a archivos remotos.

En julio, los operadores añadieron otra capa colocando un archivo RAR protegido por contraseña dentro de un archivo ZIP. Su acceso directo descargaba un PDF que contenía datos codificados.

Posteriormente, PowerShell extrajo y ejecutó esos datos para obtener un instalador MSI, separando aún más el documento visible del proceso malicioso.

Prioridades de detección y respuesta

Microsoft observó que RedFlick se comunicaba con infraestructura remota, creaba tareas programadas y desplegaba CosmicPulse en al menos un incidente.

Esa secuencia puede dejar al atacante con acceso persistente a un dispositivo Windows, incluso después de que el correo electrónico original de phishing haya desaparecido de la vista inmediata del usuario.

Los defensores deben revisar los registros de correo electrónico en busca de archivos RAR o ZIP cifrados que lleguen después de mensajes previos sin adjuntos, especialmente cuando un remitente dice que se omitió un archivo adjunto o proporciona una contraseña en la conversación.

Los equipos deben identificar a los destinatarios que recibieron, extrajeron, montaron o abrieron los archivos, separando la entrega de la ejecución real. Donde las operaciones lo permitan, los archivos cifrados que no puedan ser inspeccionados deben recibir una revisión adicional antes de llegar a los endpoints.

Los equipos de seguridad también deben correlacionar la extracción de archivos con el montaje de VHDX, la ejecución de LNK, instaladores MSI, PowerShell, actividad de WebDAV, creación de tareas programadas y conexiones externas desconocidas.

Si sospechas que ha habido una ejecución, debes aislar el dispositivo, preservar el hilo del correo electrónico y el archivo original, e inspeccionar las tareas programadas y otros ajustes de persistencia.

Los registros de procesos y de red pueden revelar la ruta de la infección, mientras que revisar las cuentas del usuario, las sesiones activas, las reglas del buzón y los mensajes recientes puede exponer objetivos adicionales.

La campaña demuestra por qué un primer correo electrónico que parece limpio no es evidencia de seguridad. Verificar las solicitudes inesperadas a través de un canal de contacto conocido sigue siendo importante, particularmente para organizaciones que manejan políticas, investigación, diplomacia, periodismo o finanzas relacionadas con Ucrania.

Fuentes:
https://cybersecuritynews.com/russian-hackers-2/