Atacuri cibernetice Star Blizzard: Tehnica RedFlick explicată

Când vine vorba de securitatea cibernetică a unei companii, marea majoritate a patronilor din Arad își fac griji doar în momentul în care sistemul se blochează complet sau primesc o cerere de răscumpărare. În realitate, cele mai periculoase atacuri sunt cele care se instalează discret în fundal, folosind tehnici de inginerie socială extrem de bine puse la punct. Din experiența noastră de la Activ.NET, unde administrăm infrastructuri IT pentru diverse firme locale, am observat că angajații sunt adesea prima și cea mai vulnerabilă linie de apărare, fiind ușor de păcălit de mesaje care par complet legitime.

#Ce s-a intamplat

Grupul de hackeri statal rus Star Blizzard și-a diversificat operațiunile de phishing și a introdus o nouă metodă de livrare a malware-ului, cunoscută sub numele de „RedFlick”. Dacă în trecut atacurile lor cereau o interacțiune manuală complexă din partea victimelor, noua metodă automatizează aproape tot procesul. Atacul începe cu un e-mail de phishing urmat de o arhivă protejată cu parolă care conține un disc virtual VHDX. În interior se află un fișier LNK mascat drept PDF. Când utilizatorul deschide acest fișier, se lansează în mod ascuns o fereastră de comandă în timp ce pe ecran apare un PDF decoy pentru a nu da de bănuit. În spatele acestei acțiuni, sunt create sarcini programate în Windows care descarcă un instalator și, ulterior, un backdoor numit CosmicPulse, capabil să execute cod de la distanță.

#Impact pentru firme

Pentru o firmă mică sau mijlocie din România, un astfel de atac poate avea consecințe devastatoare. Faptul că atacul folosește sarcini programate cu roluri distincte (cum ar fi testarea calității conexiunii sau configurarea rețelei) face ca detectarea prin metode clasice antivirus să fie extrem de dificilă. Odată ce un singur stație de lucru este compromisă, atacatorii pot obține acces la datele financiare, corespondența de afaceri sau bazele de date cu clienți. Timpul pierdut cu investigarea incidentului, blocarea activității și posibila pierdere a încrederii partenerilor comerciali se traduc direct în pierderi financiare greu de recuperat pentru o companie regională.

#Recomandari concrete

Din fericire, riscurile pot fi diminuate considerabil prin implementarea unor măsuri tehnice corecte și prin instruirea constantă a personalului. Iată câteva acțiuni concrete pe care le poți implementa începând de mâine în compania ta:

1. Implementează soluții EDR (Endpoint Detection and Response) în mod de blocare: Antivirusul clasic nu mai face față amenințărilor moderne. Un EDR detectează comportamentul anormal al sistemului și blochează automat artefactele malițioase. Pentru implementare, poți apela cu încredere la serviciile noastre de Service IT pentru firme.
2. Activează autentificarea multifactorială (MFA): Asigură-te că toate conturile critice și de email folosesc MFA bazat pe aplicații dedicate sau token-uri fizice, nu pe SMS.
3. Restricționează drepturile utilizatorilor: Angajații nu trebuie să aibă drepturi de administrator pe stațiile de lucru zilnice. Astfel, chiar dacă un fișier malițios este deschis, impactul este limitat la nivelul contului de utilizator.

#Concluziile noastre

Peisajul amenințărilor cibernetice evoluează rapid, iar hackerii nu mai vizează doar corporațiile internaționale, ci și firmele mai mici, folosite adesea ca puncte de intrare secundare. La Activ.NET credem că prevenția activă și stratificarea securității sunt singurele metode prin care o afacere își poate proteja operațiunile pe termen lung. Nu aștepta ca un incident să îți afecteze compania; evaluează-ți starea actuală de securitate alături de o echipă de experți locali.

Inspirat din: BleepingComputer