Star Blizzard: Gefälschte Einladungen verbreiten Schadsoftware

Eine Einladung zu einer Fachveranstaltung kann zum Einstieg für einen Spionageangriff werden. Microsoft beschreibt neue Phishing-Kampagnen von Star Blizzard, bei denen gefälschte Einladungen Schadsoftware verbreiten.

Die Untersuchung von Microsoft Threat Intelligence erschien am 29. September 2026. Microsoft beobachtet seit Januar Veränderungen bei der russischen Gruppe: größere Phishing-Kampagnen, Nachrichten über kompromittierte Websites und eine neue Technik namens RedFlick.

Star Blizzard täuscht bekannte Veranstalter vor

Als Köder dienen unter anderem vermeintliche Einladungen zu Konferenzen und Gesprächsrunden. Teilweise wirken die Nachrichten wie interne Kommunikation. Die Angreifer nutzen außerdem Konten auf kompromittierten Websites, um E-Mails zu versenden.

Microsoft beobachtete Aktivitäten gegen mehr als 100 Organisationen, überwiegend in den USA und Großbritannien. Zu den Zielen gehören Behörden, NGOs, Thinktanks und Finanzinstitutionen mit politischem oder finanziellem Ukraine-Bezug. Die Untersuchung belegt damit keine flächendeckende Angriffswelle gegen deutsche Unternehmen.

Auch bei früheren Angriffen auf Messenger-Konten stand die Täuschung einzelner Nutzer im Mittelpunkt. Eine bekannte Organisation oder ein plausibler Anlass allein bestätigt die Echtheit einer Nachricht nicht.

RedFlick reduziert die erforderliche Nutzerinteraktion

Die neue RedFlick-Angriffskette benötigt laut Microsoft nur eine Nutzerinteraktion. Frühere ClickFix-Verfahren verlangten mehrere manuelle Schritte. Geplante Aufgaben helfen anschließend dabei, die Hintertür CosmicPulse auf dem Gerät bereitzustellen.

Für die Abwehr zählt deshalb auch das Verhalten nach dem Öffnen eines Anhangs. Der Zusammenhang zwischen Nachricht, gestarteten Prozessen und weiteren Downloads kann aussagekräftiger sein als ein einzelnes Signal. Ein solcher Ansatz ergänzt eine mehrschichtige E-Mail-Sicherheit.

Was IT-Teams prüfen sollten

Microsoft empfiehlt, zweifelhafte Absender über einen bereits bekannten Kontaktweg zu überprüfen. Hinzu kommen phishingresistente Anmeldung, die Prüfung von Links und Anhängen sowie Erkennung und Reaktion auf verdächtige Aktivitäten am Endgerät.

Für die praktische Vorbereitung lassen sich daraus drei Prüffragen ableiten:

• Können Beschäftigte verdächtige Einladungen einfach melden?
• Werden Absender bei Unklarheiten unabhängig von der erhaltenen Nachricht überprüft?
• Können Security-Teams E-Mail-Ereignisse mit Aktivitäten auf dem betroffenen Gerät verbinden?

Star Blizzard zeigt, wie glaubwürdige Kommunikation und vereinfachte Schadsoftware-Verteilung zusammenspielen. Besonders Organisationen im dokumentierten Zielumfeld sollten die veröffentlichten Erkennungsmerkmale mit ihrer eigenen Umgebung abgleichen.

Weitere Entwicklungen zu Phishing und IT-Sicherheit bündelt der IT-Dock-Newsletter.