Microsoft décrit une nouvelle méthode de Star Blizzard, un groupe de pirates lié aux services de renseignement russes. Baptisée RedFlick, elle permet d’infecter un ordinateur Windows après une seule interaction de la victime. Depuis janvier 2026, le groupe a mené au moins 13 campagnes visant plus de 100 organisations.
RedFlick, la nouvelle tactique des cyberattaques russes
Dans un rapport publié le 29 septembre 2026, Microsoft détaille l’évolution des attaques de Star Blizzard. Le groupe s’appuyait auparavant sur ClickFix, une technique qui pousse la victime à copier puis exécuter une commande. RedFlick réduit cette étape : un clic sur un faux document peut suffire à lancer l’infection.
La méthode commence par un courriel crédible, souvent présenté comme une invitation à un événement. Certains messages usurpent l’identité d’une institution ou imitent des communications internes. Les premières campagnes observées se faisaient passer pour des autorités ukrainiennes, avant de viser des organisations à l’international.
Un faux PDF déclenche l’infection sur Windows
Le premier message ne contient généralement pas de pièce jointe. Les pirates attendent une réponse, puis envoient une archive ZIP ou RAR protégée par un mot de passe, fourni dans le courriel sous forme d’image.
À l’intérieur se trouve un disque virtuel avec un raccourci Windows, ou fichier LNK, déguisé en PDF. Son ouverture exécute une commande malveillante en arrière-plan, tandis qu’un vrai document s’affiche pour détourner l’attention. Trois tâches planifiées, présentées comme des composants réseau, transmettent des informations sur la machine, activent WebDAV puis lancent la charge.
CosmicPulse donne aux pirates un accès à distance
La dernière étape installe CosmicPulse, une porte dérobée écrite en Python et associée à Star Blizzard. Elle permet d’exécuter du code, de télécharger des fichiers et de récupérer des documents. Le but est clair : maintenir un accès à la machine sans demander d’autres manipulations à l’utilisateur.
Microsoft a relevé des campagnes comptant chacune de quelques dizaines à quelques centaines de courriels. Les cibles comprennent notamment des ONG, des gouvernements, des groupes de réflexion et des institutions financières qui soutiennent l’Ukraine. Les États-Unis et le Royaume-Uni figurent parmi les pays les plus touchés.
Comment réduire le risque face à Star Blizzard
Une archive protégée par mot de passe ne rend pas un fichier sûr. Il faut se méfier d’un PDF inattendu, surtout lorsqu’il est contenu dans un disque virtuel ou une archive reçue après un échange inhabituel.
Microsoft recommande de vérifier l’expéditeur par un autre canal, avec une adresse ou un numéro déjà connu. Cette vérification simple coupe le scénario à sa source : un message peut sembler familier, mais son apparence ne prouve rien.
Source: www.01net.com
Commentaires
Laisser un commentaire