De vermoedelijk aan de Russische veiligheidsdienst FSB gelinkte hackersgroep Star Blizzard heeft dit jaar haar phishingcampagnes uitgebreid. De groep richt zich op Oekraïense personen en instellingen, maar ook op organisaties in onder meer de Verenigde Staten en het Verenigd Koninkrijk die Oekraïne politiek of financieel steunen.
De activiteiten troffen volgens Microsoft meer dan honderd organisaties. Star Blizzard, ook bekend als Callisto en ColdRiver, is sinds ten minste 2017 actief en werd eerder door westerse overheden in verband gebracht met de FSB.
Sinds begin 2026 is de werkwijze van de groep volgens Microsoft veranderd. Waar de aanvallen eerder vooral zeer gericht waren op afzonderlijke personen, versturen de hackers nu campagnes met tientallen tot honderden e-mails tegelijk. Microsoft identificeerde sinds januari ten minste dertien van zulke grootschalige campagnes.
De uitbreiding hangt vermoedelijk samen met het gebruik van een platform voor massale phishingmails, waarmee aanvallen kunnen worden geautomatiseerd. Sinds maart gebruiken de aanvallers bovendien accounts die zijn aangemaakt op gecompromitteerde websites om doelwitten te benaderen. Eerder maakten zij vaak gebruik van gratis e-maildiensten en deden zij zich voor als bekenden van mogelijke slachtoffers, zoals politici, academici of voormalige diplomaten.
Van Oekraïense mailboxen naar internationale organisaties
De eerste campagnes van dit jaar waren gericht op gebruikers van de Oekraïense e-mailprovider Ukr.net. De hackers deden zich daarbij voor als Oekraïense autoriteiten en stuurden berichten over een vermeende belastingcontrole of een openstaande boete.
Vanaf maart breidde Star Blizzard de aanvallen uit naar doelwitten buiten Oekraïne. Daarbij werden onder meer valse uitnodigingen verstuurd voor conferenties en evenementen die zouden zijn georganiseerd door bekende denktanks of ngo’s. In enkele gevallen kregen meerdere medewerkers van dezelfde organisatie e-mails die als interne communicatie waren vermomd.
Microsoft stelt dat de eerste aanvallen op Oekraïne mogelijk dienden om de nieuwe werkwijze te testen voordat de groep zich op internationale doelwitten richtte.
Nieuwe methode voor installatie van malware
De groep gebruikt daarnaast een nieuwe methode om malware te verspreiden, die Microsoft RedFlick noemt. Nadat een ontvanger op een eerste phishingmail reageert, volgt doorgaans een wachtwoordbeveiligd archiefbestand. Bij het openen van een bestand daaruit kan RedFlick via geplande taken op de computer de CosmicPulse-backdoor installeren en de activiteit minder zichtbaar maken.
Voor deze methode is één handeling van het slachtoffer nodig. De eerdere ClickFix-methode vereiste meerdere stappen. Volgens Microsoft vergroten de combinatie van massale phishing en de nieuwe besmettingsmethode de kans dat de groep meer doelwitten bereikt, detectie ontwijkt en systemen binnendringt.
