Čo sa zmenilo

Ruská skupina Star Blizzard, ktorú Microsoft sleduje ako aktéra kyberšpionáže, rozšírila svoje phishingové operácie. Namiesto výlučne individuálne pripravených správ začala posielať väčšie série: Microsoft uvádza kampane s desiatkami až stovkami e-mailov. Často sa vydávajú za pozvánky na konferenciu alebo odborné podujatie, niekedy za upozornenie na daňovú kontrolu či pokutu. Pre príjemcu tak môžu pôsobiť ako bežná pracovná komunikácia. Zdroj: Analýza Microsoft Threat Intelligence.

Microsoft od januára 2026 zaznamenal najmenej 13 takýchto kampaní a aktivitu vo viac než 100 organizáciách, prevažne v Spojených štátoch a Spojenom kráľovstve. Medzi ciele patrili ukrajinskí jednotlivci a inštitúcie, mimovládne organizácie, think-tanky, vlády a finančné inštitúcie podporujúce Ukrajinu. Tento údaj opisuje pozorovanú aktivitu a jej ciele; neznamená, že každá z vyše sto organizácií bola úspešne napadnutá alebo že ide o náhodné hromadné rozosielanie všetkým firmám. Kontext: Správa CyberScoop o rozšírení kampane.

RedFlick skracuje reťazec útoku

Microsoft pomenoval novší spôsob doručenia malvéru RedFlick. Predchádzajúci postup často vyžadoval viacero krokov zo strany obete. V pozorovaných prípadoch teraz e-mailová výmena môže pokračovať prílohou v zaheslovanom archíve; po interakcii používateľa spustí reťazec úloh systému Windows, ktorý doručí zadné vrátka CosmicPulse. Microsoft opisuje tento tok ako taký, ktorý vyžaduje jednu interakciu používateľa. Neznamená to, že samotné zobrazenie ľubovoľného e-mailu infikuje počítač. Podrobnosti: Opis techniky RedFlick a obrany.

Ďalšou zmenou je zneužívanie účtov vytvorených na napadnutých legitímnych webových stránkach na odosielanie správ. E-mail tak nemusí prísť z domény, ktorú bezpečnostné filtre už poznajú ako podozrivú. Microsoft zároveň uvádza, že útoky využívajú napodobňovanie dôveryhodných kontaktov a viacero spôsobov doručenia. Správa, ktorá odkazuje na kolegu, konferenciu alebo finančnú agendu, preto potrebuje rovnaké overenie aj vtedy, keď vyzerá profesionálne. Zdroj: Odporúčania Microsoftu pre organizácie v rizikových odvetviach.

Čo to znamená pre firmy

Najviac by mali zbystriť organizácie spojené s verejnou správou, medzinárodnou politikou, podporou Ukrajiny, neziskovým sektorom a finančnými službami. Aj firmy mimo tohto okruhu však môžu využiť hlavné poučenie: útočníci kombinujú dôveryhodnú tému, väčší počet príjemcov a menej nápadný technický postup. Kybernetická ochrana preto nemôže stáť iba na tom, že ľudia rozpoznajú pravopisné chyby alebo že e-mail prichádza z cudzej domény. Zdroj: Microsoft o cieľoch a zmenách v kampaniach.

Microsoft vo svojej analýze odporúča phishingu odolné prihlasovanie a ochranu zariadení. Pre praktické preverenie firmy je dôležité určiť aj to, kto kontroluje hlásenia podozrivých správ, ako sa overujú nečakané pozvánky a či bezpečnostný tím vie zachytiť nezvyčajné úlohy systému Windows alebo spustenie súborov z archívov. Konkrétne indikátory Microsoftu sa týkajú pozorovanej kampane; ich neprítomnosť sama osebe nedokazuje, že prostredie je bez rizika. Odporúčania: Microsoft Threat Intelligence.

Tri praktické kroky

  1. Overte nečakané pozvánky iným kanálom. Ak správa vyzýva na otvorenie archívu alebo dokumentu, potvrďte si ju cez už známy kontakt či interný komunikačný kanál; neodpovedajte na podozrivý e-mail ako jediný spôsob overenia.
  2. Posilnite ochranu prihlasovania a e-mailu. Uprednostnite phishingu odolné MFA, zablokujte staré prihlasovacie metódy a nastavte kontrolu príloh aj odkazov podľa rizikovosti používateľov.
  3. Pripravte kontrolu po kliknutí. Zabezpečte jednoduché nahlásenie, rýchle odpojenie podozrivého zariadenia a preverenie nových plánovaných úloh, spustenia súborov z archívov a nezvyčajných spojení.

Záver

Príbeh Star Blizzardu ukazuje, že phishing sa môže meniť súčasne v dôveryhodnosti zámienky aj v spôsobe doručenia škodlivého kódu. Firmy si môžu pomôcť tým, že si nacvičia overenie nezvyčajnej správy a vopred určia, čo sa stane po jej nahlásení.

Zdroje