ההזמנה לכנס של Chatham House נראתה כמו הזמנה לכנס. שם של מוסד אמיתי, תאריך, טון מנומס ובקשה לאשר השתתפות. מה שלא היה בה זה קובץ מצורף, ולכן גם לא היה בה שום דבר שסורק דואר יכול לחסום. רק מי שטרח להשיב קיבל הודעה שנייה, וכאן הגיע ארכיון RAR מוגן בסיסמה. הסיסמה עצמה הופיעה כתמונה בגוף המייל, לא כטקסט.

חוקרי Microsoft Threat Intelligence פרסמו ב-29 בספטמבר ניתוח של גל הקמפיינים הזה, ולפי הדוח הוא פגע ביותר ממאה ארגונים, בעיקר בארצות הברית ובבריטניה. מיקרוסופט מייחסת אותו לקבוצה שהיא מכנה Star Blizzard, ש-CISA מגדירה כגוף הכפוף למרכז 18 של שירות הביטחון הפדרלי הרוסי (FSB). ה-NCSC הבריטי מנסח את זה בזהירות דומה וכותב שהקבוצה "כמעט בוודאות כפופה למרכז 18 של ה-FSB". החלק החדש בדוח הוא לא הפישינג, שאותו הקבוצה מריצה מ-2019, אלא מה שקורה אחרי הלחיצה הבודדת: שיטת הפצה שמיקרוסופט קוראת לה RedFlick.

בהמשך נעבור על שלוש המשימות המתוזמנות שמתחזות לתחזוקת Windows שגרתית, על מטען שהוסתר בתוך קובץ PDF אמיתי, ועל הדלת האחורית בפייתון שמפתח ההצפנה שלה נשמר ב-registry של המשתמש.

למה ההודעה הראשונה ריקה מכל מטען

עד 2024 Star Blizzard עבדה בשיטה שמתאימה לריגול ממוקד: מיפוי של יעד אחד, התכתבות ממושכת שבונה אמון, ואז קישור לדף התחברות מזויף שגונב פרטי אימות. מיקרוסופט מתארת ב-2026 שינוי כמותי. במקום עשרות יעדים נבחרים, הקבוצה מריצה קמפיינים רחבים, ומאז ינואר נספרו לפחות 13 גלים נפרדים כאלה.

ההודעה הראשונה בכל גל היא מה שמיקרוסופט מכנה initial contact: מייל נקי לגמרי, בלי קובץ ובלי קישור, שכל תפקידו הוא לגרום לנמען להשיב. מבחינת התוקף זה הגיוני. מייל בלי מטען לא מפעיל שום כלל חסימה, ותשובה של הנמען גם מסמנת שהכתובת חיה וגם מעבירה את ההתכתבות לשרשור שבו ההודעה הבאה כבר נראית לגיטימית. רק אז מגיע הארכיון.

הקמפיינים הראשונים, בינואר ובפברואר, כוונו למשתמשי ספק הדואר האוקראיני Ukr.net והתחזו לרשויות אוקראיניות, עם נושאים של ביקורת מס או קנס שלא שולם. ממרץ הקבוצה יצאה מאוקראינה, והפיתיונות עברו לעולם של מוסדות מחשבה: הזמנות לכנסים שהתחזו ל-IISS, ל-Atlantic Council, ל-Chatham House ולפורום בשם MAMA Summit. באוגוסט נשלחה הודעה בנושא "הוראת תשלום" לעובדי ארגון פיננסי בינלאומי. גם כתובות השולח אינן שלהם: לפי מיקרוסופט, החשבונות ששלחו את ההודעות נוצרו באתרים שמאוחסנים על CPanel ועל WordPress, ואותו שם חשבון חוזר בכמה דומיינים. מיקרוסופט מעריכה ברמת ודאות גבוהה שמדובר באתרים שהקבוצה פרצה בדיוק כדי לקבל מהם כתובות שולח עם מוניטין נקי.

שלוש משימות עם שמות של תחזוקת מערכת

מה שהתוקף צריך אחרי שהקובץ נפתח הוא מנגנון שיוריד את הכלי האמיתי, יריץ אותו וישרוד אתחול. הפתרון כאן פשוט מהצפוי: מתקין MSI שיוצר משימות מתוזמנות ב-Windows, עם שמות שנראים כמו רכיבי מערכת. לשיטה הזאת מיקרוסופט קוראת RedFlick.

בינואר הייתה משימה אחת. באפריל המתקין כבר יצר שלוש, לכל אחת תפקיד משלה. הראשונה נקראת Internet Quality Test Connection ועושה שני דברים: שולחת לשרת השליטה והבקרה (C2, השרת שממנו התוקף שולט בנוזקה) מחרוזת מקודדת ב-Base64 ובקידוד UTF-16 שמכילה את שם המחשב או הרשת ואת שם המשתמש, ובנוסף מאפשרת להריץ DLL מרוחק דרך קריאה ל-Control_RunDLL מתוך Shell32.dll.

השנייה, Network Configuration Manager, היא משימת עזר. היא גורמת ל-Windows להתייחס לנתיב בסגנון UNC כמשאב WebDAV, כלומר להתחבר אליו בפועל דרך HTTP או HTTPS במקום דרך שיתוף SMB רגיל. זה החלק שכדאי לעצור עליו: מערכת ההפעלה מציגה לאפליקציה תיקייה מרוחקת שנראית כמו כל תיקיית רשת, בעוד שהתעבורה שמאחוריה היא בקשות HTTP יוצאות. חוק חומת אש שחוסם SMB לאינטרנט לא נוגע בזה בכלל. השלישית, System Health Monitor, מריצה control.exe מול נתיב מרוחק על שרת C2 קבוע ומביאה את השלב הבא.

עד כאן מה שמתוזמן להריץ. השאלה איך הקובץ הראשון מגיע להרצה מעניינת לא פחות, כי שם הקבוצה החליפה שיטה שלוש פעמים בשמונה חודשים.

המטען שחיכה בתוך קובץ PDF

בינואר הארכיון הכיל דיסק וירטואלי בפורמט VHDX. בתוכו קובץ קיצור דרך (LNK) שמתחזה למסמך PDF, ולידו תיקייה מוסתרת עם סקריפט BAT ועם PDF אמיתי שמשמש הסחה. לחיצה על ה-LNK מפעילה את conhost.exe בחלון מוסתר, זה מפעיל cmd.exe, וה-BAT פותח את ה-PDF המסיח ובמקביל מריץ את SSH.exe עם האפשרות PermitLocalCommand. זהו שימוש מעניין בכלי לגיטימי לחלוטין שמותקן ב-Windows כברירת מחדל, וממנו יורד ומותקן ה-MSI.

ביולי הופיעה שרשרת אחרת. ה-LNK משתמש ב-conhost.exe וב-curl כדי להוריד קובץ PDF משרת של התוקפים, ואז סקריפט PowerShell מפרסר את הקובץ, מחפש בתוכו את הכותרת cAB ומחלץ את 208 הבתים שאחריה, שהם Base64. הפענוח מייצר פקודה שמורידה ומתקינה, שוב, מתקין MSI. השיטה נוחה לתוקף מסיבה אחת: הקובץ שיורד הוא באמת PDF ונפתח כמו PDF, והמטען הוא מחרוזת קצרה שיושבת בתוכו.

הדלת האחורית והמפתח ב-registry

בסוף כל השרשראות האלה יושב אותו רכיב: DLL שנבנה כ-applet של לוח הבקרה (CPL). התפקיד שלו יחיד, להוריד ולהתקין את הדלת האחורית עצמה, נוזקה בפייתון שמיקרוסופט קוראת לה CosmicPulse. המוריד מוכר במקומות אחרים בשמות NOROBOT ו-BAITSWITCH, והמטען עצמו בשם YESROBOT.

ההתקנה מתחלקת לשני קבצי ZIP. הראשון מכיל חבילת Python 3.8 ב-64 ביט ולידה קובץ פייתון שמשמש bootstrapper, והשני מכיל את CosmicPulse בצורה מוצפנת. המוריד כותב מפתח AES מוצפן למקום לא צפוי, מפתח ב-registry בשם HKEY_CURRENT_USER\Software\Classes\.mollis, שנראה כמו רישום שגרתי של סיומת קובץ. ה-bootstrapper קורא משם את המפתח המוצפן, מפענח אותו בעזרת מפתח מוטמע בקוד במצב AES-ECB, ובמפתח שהתקבל מפענח את המטען מה-ZIP השני.

כמה חלקים בתמונה חסרים, ומיקרוסופט אומרת את זה במפורש. את ה-DLL שהמשימה הראשונה יכולה להוריד החוקרים לא הצליחו להשיג, כך שמה שהוא עושה נשאר לא ידוע. גם הקישור בין המשימות לנוזקה חלקי: בדוח נכתב שבמקרה אחד לפחות נצפתה המשימה הראשונה או השלישית מתקינה CosmicPulse על המכונה, בלי לקבוע איזו מהן. מיקרוסופט מציינת גם חפיפה ב-TTPs עם קמפיין פישינג שתיארה המעבדה לאבטחה דיגיטלית באוקראינה ביוני 2026.

אז למה השיטה השתנתה דווקא עכשיו?

לפי מיקרוסופט, נקודת המעבר היא פרסום. באוקטובר 2025 הוציאה Google Threat Intelligence Group דוח על נוזקה של Star Blizzard בשם COLDCOPY, ומאז הקבוצה שינתה את דרכי הגישה הראשונית שלה. זה דפוס מוכר אצלה: היא מחליפה שיטות בתגובה לחשיפה פומבית, לא בתגובה לחסימה טכנית.

השינוי הספציפי הוא בכמות הלחיצות. קודם הקבוצה השתמשה בשרשראות בסגנון ClickFix, שבהן הקורבן צריך לבצע כמה פעולות בעצמו, למשל להעתיק פקודה ולהדביק אותה במקום מסוים. RedFlick דורש אינטראקציה אחת בלבד. ההפרש נשמע קטן והוא לא: כל פעולה נוספת שדורשים מהקורבן היא נקודה שבה חלק מהאנשים עוצרים.

מה זה אומר בפועל

שלושת שמות המשימות שמיקרוסופט פרסמה הם מחרוזות חיפוש ישירות, ומי שמפעיל EDR או אוסף לוגים של יצירת משימות מתוזמנות יכול לחפש אותם אצלו עוד היום. שני הכלים הלגיטימיים שהשרשרת נשענת עליהם שווים בדיקה נפרדת: תעבורת SSH יוצאת מעמדות עבודה אל האינטרנט היא חריגה כמעט בכל רשת ארגונית, וכך גם WebDAV, ואת שירות ה-WebClient אפשר להשבית במקומות שלא צריכים אותו. מעבר לזה, כל השרשרת מתחילה בהתכתבות שנראית תקינה לגמרי, ולכן ארגון שעובד מול מוסדות מחשבה, מול NGOs או מול גורמים שקשורים למדיניות בינלאומית צריך להתייחס להזמנה לכנס שמגיעה מכתובת לא מוכרת כאל מה שהיא: הודעה שכל תפקידה הוא לקבל ממנו תשובה.