Russian state hackers use new RedFlick technique to push malware

El grupo de pi­ra­tas in­for­má­ti­cos es­ta­ta­les rusos co­no­ci­do como Star Bliz­zard ha es­ta­do em­plean­do una es­tra­te­gia de ins­ta­la­ción de soft­wa­re ma­li­cio­so lla­ma­da Red­Flick para dis­tri­buir su puer­ta tra­se­ra Cos­mic­Pul­se. Esta tác­ti­ca busca au­to­ma­ti­zar aún más las agre­sio­nes y dis­mi­nuir la in­ter­ven­ción de las víc­ti­mas me­dian­te el uso de co­rreos elec­tró­ni­cos de su­plan­ta­ción de iden­ti­dad que in­clu­yen ar­chi­vos com­pri­mi­dos pro­te­gi­dos con con­tra­se­ña, los cua­les con­tie­nen un disco vir­tual con un ac­ce­so di­rec­to dis­fra­za­do de do­cu­men­to PDF.

Al abrir dicho ar­chi­vo, se eje­cu­tan co­man­dos ocul­tos que mues­tran un do­cu­men­to se­ñue­lo mien­tras des­car­gan un ins­ta­la­dor que con­fi­gu­ra di­ver­sas ta­reas pro­gra­ma­das des­ti­na­das a eva­dir la de­tec­ción, re­co­pi­lar in­for­ma­ción del sis­te­ma, pre­pa­rar fun­cio­na­li­da­des de red y eje­cu­tar car­gas ma­li­zas adi­cio­na­les. Estas si­guien­tes fases in­clu­yen des­car­ga­do­res que ob­tie­nen pa­que­tes de Python y un ges­tor de arran­que para des­ci­frar y ac­ti­var la carga de la puer­ta tra­se­ra, cuyas fun­cio­nes prin­ci­pa­les si­guen per­mi­tien­do la eje­cu­ción de có­di­go re­mo­to para ges­tio­nar ar­chi­vos y do­cu­men­tos en los equi­pos afec­ta­dos.

Las cam­pa­ñas re­cien­tes han afec­ta­do a nu­me­ro­sas or­ga­ni­za­cio­nes prin­ci­pal­men­te en el Reino Unido y Es­ta­dos Uni­dos, ade­más de ata­car a per­so­nas e ins­ti­tu­cio­nes de Ucra­nia junto con or­ga­ni­za­cio­nes no gu­ber­na­men­ta­les, cen­tros de pen­sa­mien­to, en­ti­da­des gu­ber­na­men­ta­les y fi­nan­cie­ras in­ter­na­cio­na­les. Para mi­ti­gar estas ame­na­zas, se acon­se­ja im­ple­men­tar au­ten­ti­ca­ción re­sis­ten­te al phishing, po­lí­ti­cas de ac­ce­so con­di­cio­nal, pro­tec­ción de co­rreo elec­tró­ni­co, ve­ri­fi­ca­ción in­de­pen­dien­te de men­sa­jes sos­pe­cho­sos y so­lu­cio­nes de de­tec­ción y res­pues­ta en el ex­tre­mo con­fi­gu­ra­das en modo de blo­queo.