Nueva táctica de ciberespionaje: Automatización y evasión
El panorama de la ciberseguridad corporativa se enfrenta a un nuevo desafío con la aparición de RedFlick, una técnica de instalación de malware recientemente identificada por investigadores de Microsoft. Esta táctica es empleada por el actor de amenazas vinculado al estado ruso, Star Blizzard (también conocido como ColdRiver), para desplegar su backdoor insignia, CosmicPulse.
A diferencia de métodos anteriores que requerían múltiples acciones manuales por parte del usuario, RedFlick destaca por su capacidad de automatización, reduciendo drásticamente la interacción necesaria de la víctima para completar la infección.
¿Cómo funciona el ataque RedFlick?
La cadena de infección es un ejemplo de ingeniería social técnica y precisión operativa. El proceso se divide en las siguientes fases críticas:
- Phishing inicial: El ataque comienza con un correo electrónico legítimo en apariencia, seguido de un segundo mensaje que contiene un archivo comprimido (ZIP o RAR) protegido por contraseña.
- Contenedores VHDX: Dentro del archivo se encuentra un disco virtual VHDX. Al montarlo, el usuario ve un archivo LNK que simula ser un PDF. Al ejecutarlo, se lanza una ventana oculta de comandos mientras se muestra un PDF señuelo para no levantar sospechas.
- Tareas programadas para la evasión: El sistema descarga un instalador MSI que crea tres tareas programadas distintas. Esta fragmentación ayuda a evadir soluciones de seguridad tradicionales al distribuir las funciones maliciosas en procesos aparentemente legítimos de mantenimiento.
- Carga final: Finalmente, se descarga el backdoor CosmicPulse, una herramienta basada en Python capaz de ejecutar código remoto y exfiltrar documentos sensibles de la organización.
Impacto en el sector empresarial y gubernamental
Desde principios de 2026, se han detectado al menos 13 campañas a gran escala que han afectado a más de 100 organizaciones. Aunque el foco principal ha sido Ucrania, los ataques se han extendido a ONGs internacionales, centros de pensamiento (think tanks), gobiernos e instituciones financieras en Estados Unidos y el Reino Unido.
La peligrosidad de Star Blizzard radica en su capacidad para evolucionar. El paso de técnicas como ClickFix a RedFlick demuestra una tendencia hacia ataques más silenciosos y difíciles de detectar por usuarios no entrenados.
Recomendaciones de seguridad para organizaciones
Desde el departamento de ciberseguridad de Intedya, recomendamos a las empresas fortalecer sus perímetros defensivos mediante las siguientes acciones:
- Autenticación resistente al phishing: Implementar sistemas de autenticación multifactor (MFA) basados en hardware o estándares FIDO2.
- EDR en modo bloqueo: Utilizar soluciones de Detección y Respuesta de Endpoints (EDR) configuradas para bloquear automáticamente artefactos maliciosos, incluso si no son detectados inicialmente por el antivirus.
- Políticas de Acceso Condicional: Restringir el acceso a recursos corporativos basándose en el estado del dispositivo y la ubicación del usuario.
- Formación continua: Capacitar al personal para identificar las sutiles señales de los correos de phishing, especialmente aquellos que solicitan la apertura de archivos comprimidos con contraseña.
La sofisticación de actores estatales como Star Blizzard subraya la importancia de mantener una postura de seguridad proactiva y actualizada frente a las amenazas persistentes avanzadas (APT).
Fuentes
- Bleeping Computer — Russian state hackers use new RedFlick technique to push malware
https://www.bleepingcomputer.com/news/security/russian-state-hackers-use-new-redflick-technique-to-push-malware/