En un reciente informe de inteligencia, Microsoft reveló que un grupo de piratería informática ruso vinculado al Servicio Federal de Seguridad adoptó un método de suplantación malicioso llamado RedFlick, el cual logró infiltrarse en más de 100 organizaciones e instituciones en Estados Unidos y el Reino Unido con un solo clic del usuario.
- Informe de inteligencia expone el cambio de tácticas de Star Blizzard
- Objetivos: instituciones internacionales y partidarias de las políticas de Ucrania
- Infiltración en sitios de WordPress y cPanel para enviar cebos
- Evolución de las técnicas de ofuscación y pautas de defensa cibernética
- Preguntas frecuentes
Informe de inteligencia expone el cambio de tácticas de Star Blizzard
El martes, la empresa «Microsoft» publicó un informe de inteligencia detallado sobre amenazas cibernéticas en el que reveló que el grupo de piratería informática ruso respaldado por el estado «Star Blizzard» adoptó un nuevo enfoque basado en software para la entrega de malware llamado «RedFlick», lo que representa un cambio radical en las operaciones del grupo, pasando de ataques de phishing selectivo y limitado a campañas de phishing a gran escala que afectaron a más de 100 organizaciones e instituciones internacionales, concentradas principalmente en los Estados Unidos de América y el Reino Unido.
Este grupo de inteligencia está vinculado al 18.° Centro de Operaciones del Servicio Federal de Seguridad de Rusia, según las clasificaciones de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos. El grupo ha utilizado el método RedFlick desde enero de 2026 para desplegar su puerta trasera personalizada «CosmicPlus» a través de tareas programadas en el sistema Windows, un mecanismo malicioso que requiere un solo clic y la interacción del usuario para tomar el control del dispositivo, abandonando sus tácticas complejas anteriores que requerían múltiples pasos interactivos por parte de la víctima.
Objetivos: instituciones internacionales y partidarias de las políticas de Ucrania
Estas campañas organizadas tuvieron como blanco principal a figuras e instituciones ucranianas, además de organizaciones no gubernamentales internacionales, centros de investigación estratégica, ministerios gubernamentales y organismos financieros estrechamente relacionados con los expedientes de apoyo a Ucrania y las políticas occidentales.
Microsoft detectó al menos 13 campañas de phishing masivas e independientes lanzadas por el grupo entre enero y agosto de 2026. Los cebos fraudulentos variaron entre notificaciones fiscales ucranianas falsas e invitaciones simuladas para asistir a conferencias y eventos diplomáticos atribuidos falsamente a instituciones prestigiosas, como el Instituto Internacional de Estudios Estratégicos, el Atlantic Council y el británico Chatham House.
Infiltración en sitios de WordPress y cPanel para enviar cebos
En un giro operacional sorprendente y preocupante, el grupo ruso comenzó a utilizar cuentas creadas en sitios pirateados que operan con el sistema de gestión de contenidos «WordPress» y servidores «cPanel» para enviar mensajes de phishing, abandonando su histórica dependencia de servicios de correo electrónico gratuitos y cifrados como ProtonMail.
Los equipos de inteligencia de amenazas de Microsoft estimaron «con alta confianza» que dichos sitios de WordPress fueron pirateados y explotados por el grupo específicamente con este propósito, para sortear los filtros de spam y dar credibilidad a los mensajes maliciosos.
Evolución de las técnicas de ofuscación y pautas de defensa cibernética
El método RedFlick experimentó una evolución notable a lo largo de los meses de 2026. En enero, el grupo se basó en archivos de discos virtuales protegidos con contraseña; para abril, los instaladores de software ya creaban tareas programadas disfrazadas de componentes de red legítimos como «verificación de calidad de conexión» y «monitoreo de la salud del sistema»; en julio utilizaron cadenas de ataques ocultas dentro de archivos de documentos digitales, mientras que las campañas de agosto presenciaron el uso de técnicas para ocultar datos cifrados dentro de imágenes.
Microsoft instó a las organizaciones en riesgo a implementar protocolos de autenticación resistentes al phishing, habilitar políticas de acceso condicional y desplegar sistemas seguros de escaneo de enlaces y archivos adjuntos, ejecutando soluciones de respuesta para endpoints en modo de bloqueo total para evitar la infiltración de puertas traseras.
Esta peligrosa evolución subraya la necesidad de revisar las políticas de seguridad en las empresas objetivo y actualizar las herramientas de verificación de amenazas internas para evitar la explotación de los sitios de gestión de contenidos en la difusión de software de espionaje digital.
Preguntas frecuentes
Pregunta: ¿Cuál es el grupo de piratería informática responsable de los ataques de RedFlick y cuál es su afiliación?
Respuesta: Es el grupo Star Blizzard, perteneciente al 18.° Centro de Operaciones del Servicio Federal de Seguridad de Rusia.
Pregunta: ¿Cómo logró el grupo enviar mensajes de phishing sin ser detectado?
Respuesta: Hackearon sitios de WordPress y servidores cPanel y los utilizaron para enviar los mensajes en lugar de servicios de correo gratuito.
Pregunta: ¿Qué distingue a la táctica de RedFlick de los métodos de piratería anteriores?
Respuesta: Requiere una sola interacción y un clic por parte de la víctima para sembrar la puerta trasera CosmicPlus en el sistema operativo y tomar el control del mismo.
