러시아 정부 연계 해킹 그룹 Star Blizzard(스타 블리자드)가 'RedFlick'이라는 새로운 악성코드 설치 기법을 이용해 자신들의 전용 백도어(backdoor, 시스템에 몰래 접근할 수 있게 하는 악성코드) CosmicPulse를 배포하고 있는 것으로 밝혀졌습니다. 이 기법은 피해자가 가짜 PDF처럼 보이는 바로가기 파일 하나만 클릭해도 자동으로 감염이 진행되도록 설계되어, 기존의 여러 단계를 거쳐야 했던 ClickFix 공격보다 훨씬 은밀하고 자동화되어 있습니다. Microsoft에 따르면 올해 들어 최소 13건의 대규모 피싱 캠페인이 발견됐고, 미국과 영국을 중심으로 100개 이상의 기관이 영향을 받았습니다. 공격 대상은 우크라이나를 정치적·재정적으로 지원해 온 정부기관, 국제 NGO, 싱크탱크, 금융기관 등입니다. Microsoft는 피싱에 강한 인증 방식, 조건부 접근 정책, EDR(엔드포인트 탐지·대응) 차단 모드 적용 등을 권고하고 있습니다.
러시아 국가 배후 해킹조직 Star Blizzard가 'RedFlick'이라는 신종 악성코드 유포 기법을 사용해 CosmicPulse 백도어를 설치하고 있다.
올해 들어 13건 이상의 대규모 피싱 캠페인으로 미국·영국 중심 100개 이상 기관이 영향을 받았으며, 우크라이나 지원 정부·NGO·싱크탱크·금융기관이 표적이 됐다.
피싱 이메일로 위장한 비밀번호 보호 압축파일을 열면 VHDX 가상디스크 속 LNK 파일이 실행되어 MSI 설치파일을 내려받고, 이를 통해 예약 작업을 생성해 단계별로 추가 악성코드(BAITSWITCH/NOROBOT, CosmicPulse)를 설치한다.
Microsoft는 피싱 저항 인증, 조건부 접근 정책, 이메일 보호, 의심 메시지 별도 확인, EDR 차단 모드 사용을 권고한다.
RedFlick은 피해자가 악성 바로가기 파일을 한 번만 열어도 감염이 자동 진행되므로, 출처가 불분명한 압축파일·바로가기 첨부는 특히 주의해야 한다.
본문
러시아 국가 배후 위협 행위자 Star Blizzard가 자신들의 대표 백도어(backdoor)인 CosmicPulse를 배포하기 위해 'RedFlick'이라는 새로운 악성코드 설치 전술을 사용해 왔습니다.
이 전술 자체는 새로운 사이버보안 기법은 아니지만, 이 위협 행위자에게는 새로운 전달 방식으로, 공격을 더욱 자동화하고 피해자와의 상호작용을 줄일 수 있게 해줍니다.
Microsoft 연구진은 Star Blizzard가 2026년 들어 피싱 작전을 확대하고 악성코드 전달 과정을 간소화했다고 밝혔습니다.
2017년부터 활동해온 Star Blizzard는 ClickFix나 WhatsApp 같은 새로운 페이로드 전달 경로를 지속적으로 탐색하고, 새로운 악성코드 계열을 계속 개발·배포하는 것으로 알려져 있습니다.
새로운 RedFlick 기법
RedFlick 공격은 초대장과 같은 피싱 이메일로 시작되며, 이어서 비밀번호로 보호된 ZIP 또는 RAR 압축파일이 담긴 두 번째 메시지가 전달됩니다.
이 압축파일에는 VHDX 가상 디스크가 들어 있고, 그 안에는 PDF로 위장한 LNK 파일이 있습니다. 이 파일을 열면 숨겨진 창에서 명령이 실행되는 동시에 피해자에게는 가짜 PDF가 표시됩니다.
VHDX 기반 공격 체인
출처: Microsoft
이 명령어들은 MSI 설치파일을 내려받아 실행하는데, 이 설치파일은 정상적인 유지관리 구성요소로 위장한 세 개의 예약 작업(scheduled task)을 생성하며, 각각 다음과 같은 역할을 합니다.
- Internet Quality Test Connection: 컴퓨터/네트워크 이름과 사용자 이름을 공격자에게 전송하며, 원격 DLL을 실행할 수 있다.
- Network Configuration Manager: 원격 웹 리소스를 파일 경로 형태로 접근할 수 있도록 Windows의 WebDAV 기능을 준비한다.
- System Health Monitor: control.exe를 이용해 원격에 호스팅된 다음 단계 페이로드를 실행한다.
이 새로운 방식은 각각 다른 역할을 가진 여러 개의 예약 작업을 사용하기 때문에, 공격 단계별로 탐지를 회피하는 데 도움이 됩니다.
다음 단계 페이로드는 NOROBOT 및 BAITSWITCH로 알려진 다운로더로, 제어판 애플릿(.cpl) 형태로 전달됩니다. 그 목적은 CosmicPulse 백도어를 내려받아 실행하는 것입니다.
RedFlick 예약 작업
출처: Microsoft
BAITSWITCH는 두 개의 ZIP 압축파일을 내려받는데, 그중 하나에는 Python 3.8 64비트 패키지와 CosmicPulse를 위한 부트스트래퍼(bootstrapper) 역할을 하는 Python 파일이 들어 있습니다.
"부트스트래퍼는 레지스트리에서 암호화된 키를 읽어, 내장된 키를 이용해 AES-ECB 모드로 복구한 다음, 복구된 키를 사용해 CosmicPulse 페이로드를 디코딩합니다"라고 Microsoft는 설명합니다.
공격 체인 개요
출처: Microsoft
Microsoft는 관측된 공격에서 이 백도어의 기능이 2025년 10월 Google이 발표한 보고서에서 설명한 내용과 동일하다고 밝혔습니다. 여기에는 공격자가 제공한 Python 코드를 실행해 파일을 내려받아 실행하거나 감염된 시스템에서 문서를 가져오는 기능이 포함됩니다.
실무적 관점에서 보면, RedFlick은 피해자가 악성 바로가기 파일을 여는 것만으로 자동화된 감염 체인이 시작되는 반면, ClickFix 공격에서는 Star Blizzard가 피해자에게 여러 단계의 수동 조작을 요구했습니다.
Microsoft의 보고서는 이번 공격에 사용된 감염 체인과 구성요소에 대한 기술적 분석을 제공합니다.
Microsoft에 따르면 올해 초 이후 최소 13건의 대규모 피싱 캠페인이 관측되었으며, 이는 주로 미국과 영국을 중심으로 100개 이상의 기관에 영향을 미쳤습니다.
"RedFlick 캠페인은 우크라이나를 정치적 또는 재정적으로 지원해 온 우크라이나 개인 및 기관은 물론, 국제 NGO, 싱크탱크, 정부, 금융기관을 표적으로 삼았습니다"라고 연구진은 밝혔습니다.
전술·기법·절차(TTP)를 계속 바꾸고 있음에도, StarBlizzard는 여전히 신뢰할 수 있는 연락처나 조직을 사칭해 사용자를 노리며, 피싱 메시지를 전달하는 데 무료 이메일 제공업체를 계속 이용하고 있습니다.
Microsoft는 기업들이 피싱에 강한 인증 방식, 조건부 접근(Conditional Access) 정책, 이메일 보호 기능을 사용하고, 의심스러운 메시지는 이미 확인된 연락 경로를 통해 별도로 검증할 것을 권장합니다.
또한 엔드포인트 탐지 및 대응(EDR) 솔루션을 차단 모드로 사용하면, 백신 에이전트가 탐지하지 못하더라도 악성 아티팩트를 차단해 감염을 막을 수 있습니다.
