微软揭露俄黑客新钓鱼手法：波及超百家机构

微软近日发布威胁情报报告，披露具有俄罗斯国家背景的黑客组织 Star Blizzard 采用了一种名为“RedFlick”的新型恶意软件投递技术。这标志着该组织的行动模式正从高度定向的鱼叉式钓鱼，转向大规模网络攻击，目前已有超过 100 家机构受到波及，主要分布在美国和英国。

美国网络安全和基础设施安全局（CISA）认定，Star Blizzard 隶属于俄罗斯联邦安全局（FSB）第 18 中心。自 2026 年 1 月起，该组织开始利用 RedFlick 技术，通过系统计划任务部署其定制的 CosmicPulse 后门程序。与此前需要受害者完成多步操作的 ClickFix 感染链不同，新手法仅需用户进行一次交互即可触发感染。

攻击目标与手段全面升级

此次攻击活动的主要目标包括乌克兰本土的个人与机构，以及向乌克兰提供支持的国际非政府组织（NGO）、智库、政府部门和金融机构。微软表示，在 2026 年 1 月至 8 月期间，至少监测到 13 次独立的大规模钓鱼行动，钓鱼诱饵包括虚假的乌克兰税务通知，以及伪造的国际战略研究所、大西洋理事会和英国皇家国际事务研究所等机构的活动邀请函。

在战术层面，Star Blizzard 改变了以往依赖 Protonmail 等免费邮件服务的习惯，转而利用被入侵的 WordPress 和 cPanel 网站创建账户群发钓鱼邮件。微软威胁情报团队高度确信，这些网站是该组织为实施钓鱼专门攻破的资产。

恶意载荷投递方式持续演变

RedFlick 技术在 2026 年期间经历多次迭代：

• 1 月：黑客通过带有密码保护的 ZIP 压缩包分发恶意虚拟硬盘（VHD）文件；
• 4 月：利用 MSI 安装程序创建三个计划任务，伪装成“网络连接质量测试”和“系统健康监控”等合法系统组件；
• 7 月：引入多阶段攻击链，将恶意载荷隐匿在 PDF 文件中；
• 8 月：在攻击中运用图片隐写术隐藏恶意标识符，这种能力此前从未在该组织活动中出现。

网络安全机构 Proofpoint 也在今年 3 月披露，Star Blizzard 曾利用名为 DarkSword 的后门程序，针对存在漏洞的苹果 iOS 设备发起定向攻击。

微软提出的防御建议

针对高风险机构，微软建议采取以下防护措施：

• 部署具备防钓鱼能力的强身份验证方案，并启用条件访问策略；
• 为 Office 365 部署安全链接（Safe Links）与安全附件（Safe Attachments）检测；
• 将终端检测与响应（EDR）系统置于阻断模式，开启网络防护拦截恶意域名连接。

微软警告称，Star Blizzard 仍在持续伪装成用户熟悉和信任的联系人，且常伪造为目标机构内部发出的批量邮件以降低受害者警惕。