ロシア系ハッカー集団「Star Blizzard」の新手口「RedFlick」はなぜクリック1回で感染するのか。100超の組織が狙われた手口の変化を確かめる

まず初めに

パスワード付きZIPファイルのパスワードを、わざわざ画像にして送ってくる。スパムフィルターをかわすための工夫だと言われればそれもそうなのだが、ここまで気配りされると、むしろ感心してしまう。攻撃メールの誘い文句も、会議の案内や支払い通知、ホテルの断水連絡と、実務で受け取っても違和感のない題材ばかりだ。クリック1回で感染が完了するところまで手口を磨き続けている時点で、彼らは明らかに「仕事」として本気を出している。ただし本気の相手が、ウクライナを支援するNGOや研究機関だという点は、笑って済ませられる話ではない。※個人の感想です

何が起きているのか

Microsoftは2026年9月29日、公式セキュリティブログで、ロシア国家系とされる攻撃グループ「Star Blizzard」の最新動向を公表しました。米国のCISA(サイバーセキュリティ・インフラセキュリティ庁)は、Star Blizzardをロシア連邦保安庁(FSB)傘下の「センター18」に紐づく組織と位置づけているとされています。Star Blizzardは、自分たちの手口が公に報じられるたびに、検知を逃れるため手口を定期的に刷新してきたグループで、2025年10月にGoogle Threat Intelligence Groupが同グループのマルウェア「COLDCOPY」を報告した後も、大きく手口を変えたとMicrosoftは説明しています。

Microsoftが確認した2026年の変化は大きく3つです。1つ目は、従来の少数を狙う標的型のフィッシング(偽の連絡を装って情報や操作をだまし取る攻撃)から、数十〜数百件単位で送る大規模フィッシングへの転換です。2026年1月以降、少なくとも13件の大規模キャンペーンが確認されており、最初期(1月〜2月)はウクライナのメールサービス利用者を狙い、ウクライナ当局を装った税務調査や罰金の通知を名目にしていました。3月以降は、会議の案内や招待状を装う内容に広がり、対象もウクライナ国外の組織に拡大しています。2つ目は、侵害した正規のWebサイト(cPanelやWordPressで管理されているサイト)のアカウントから、2026年3月以降フィッシングメールを送るようになった点です。無料のメールサービスを使うより検知されにくくなったとされています。3つ目は、マルウェアの配布手法そのものの進化です。

新しい配布手口「RedFlick」は、複数のスケジュールタスク(パソコンが決まった時刻や条件で自動的に実行する処理)を使って、Star Blizzard独自のバックドア(遠隔操作を可能にする不正プログラム)「CosmicPulse」を導入する手口です。従来の「ClickFix」という手口は、被害者に複数の操作を求める必要がありましたが、RedFlickは1回の操作だけで感染が完了するよう作られており、侵入の「摩擦」を減らしているとMicrosoftは指摘しています。

手口の変化は段階的に観測されています。2026年1月には、パスワード付きのZIPファイルの中に、仮想ハードディスク形式のファイル「VHDX」が入っているパターンが確認されました。このVHDXには、PDFを装った偽の拡張子かくちょうしのLNKファイルと、BATスクリプトが仕込まれており、被害者がLNKファイルを開くと、BATスクリプトがSSH通信を使ってMSIインストーラーを取得・実行し、スケジュールタスクを作成します。このタスクがWindowsの標準機能「control.exe」を悪用して、コントロールパネルの拡張ファイルに偽装したダウンローダーを実行し、Pythonの実行環境とバックドア「CosmicPulse」を導入する流れです。2026年4月には、MSIファイルが3つのスケジュールタスク(「Internet Quality Test Connection」「Network Configuration Manager」「System Health Monitor」)を作成するパターンに変化し、7月には、ZIPの中にRARファイルを入れ子にした構成で、LNKファイルがPDFを取得し、PowerShellがPDF内に隠されたデータを取り出して実行する手口に変わりました。

メールの誘い文句は、会議の案内、金融関連イベント、支払い通知、ホテルの断水通知など、実務上もっともらしい題材が使われています。最初の接触メールには添付ファイルがなく、被害者が返信すると、パスワード付きのZIPまたはRARファイルが送られてきます。このパスワードは、メール本文ではなく画像として示されることがあり、2026年8月のキャンペーンでは、識別情報を画像に隠すステガノグラフィー(画像や音声データの中に別の情報をひそませる技術)を使ったり、送信先ごとに異なるZIPファイルを用意したりする手口も確認されています。

なぜ重要なのか

Microsoftは、今回の一連の活動によって、米国・英国を中心に100を超える組織が影響を受けたと観測しています。対象は、ウクライナの個人・機関に加えて、国際的な非政府組織(NGO)、欧米のシンクタンク(政策研究機関)、政府機関、そしてウクライナを政治的・財政的に支援してきた金融機関など、Star Blizzardが長年狙ってきた分野と一致しているとされています。

重要なのは、少数の要人を狙う精密な標的型攻撃から、数十〜数百件単位で送る大量フィッシングへと戦略を変えたという点です。国家の後ろ盾を持つとされる攻撃グループが、量を打って当てる手法に踏み込んだことで、見分けがつきにくくなっているとMicrosoftは指摘しています。また、RedFlickで使われるスケジュールタスクの名前(「Network Configuration Manager」など)は、いかにも正規のシステム管理機能のように見える名称が選ばれており、IT管理者であっても見た目だけでは不審な処理だと気づきにくい点も、今回の手口の特徴です。

私たちへの影響

今回の攻撃が直接狙っているのは、ウクライナ関連の個人・機関、国際NGO、欧米のシンクタンク、政府機関、ウクライナを支援する金融機関などで、一般の利用者の大半にとって、自分が直接の標的になる可能性は高くありません。Microsoftは、標的にされた、または侵害が確認された顧客には直接通知するとしています。

一方で、こうした国家系の攻撃グループが磨き上げた手口(会議案内を装う、パスワードを画像で送る、仮想ハードディスク形式のファイルを使うなど)は、時間をかけて一般の企業や個人を狙う通常のサイバー犯罪にも転用されていく可能性があります。NGOや研究機関、政府機関、金融機関に所属していない人であっても、こうした手口の存在自体を知っておくことには意味があります。

初心者が知っておくべきこと

VHDXファイルとは、Windowsの標準機能でパソコンの中の仮想的なハードディスクとして扱えるファイル形式です。ダブルクリックするとその場でドライブとして認識されてしまうため、見慣れないVHDXファイルや、パスワード付きのZIP・RARファイルが、会議の案内や支払い通知を名目にしたメールに添付されていた場合は、開く前に注意が必要です。心当たりのない送信元から届いた場合、メールへの返信ではなく、電話など別の手段で本人に確認することをおすすめします。

企業のIT管理者向けには、Microsoftは次のような対策を挙げています。フィッシングに強い認証方式の利用、Microsoft Defender for Office 365のSafe Links・Safe Attachmentsの有効化、エンドポイント検知・対応(EDR)のブロックモードの有効化、未知の実行ファイルの実行を制限する攻撃面の縮小ルールの適用、業務上不要な外部へのSSH通信の制限などです。

Q. 自分の組織が標的にされているかどうか、どうすれば分かりますか? A. Microsoftは、標的にされた、または実際に侵害が確認された顧客に対しては直接通知するとしています。心当たりのある不審なメールを受け取った場合は、自己判断で開かず、社内のIT部門やセキュリティ担当に相談することをおすすめします。

Q. 自分はNGOや政府機関で働いているわけではありませんが、関係ありますか? A. Microsoftの発表によれば、今回確認された標的はウクライナ関連の個人・機関、国際NGO、欧米のシンクタンク、政府機関、ウクライナを支援する金融機関が中心です。直接の標的である可能性は低いとみられますが、会議案内を装うメールやパスワード付きの圧縮ファイルといった手口自体は、一般的なフィッシング詐欺でも使われることがあるため、知識として知っておく価値はあります。

IT Postの見方

大量のフィッシングメールを送り、クリック1回で感染させるところまで本気で手口を磨き上げてきたことに、IT Postは正直面食らっている。これまで「国家が絡む標的型攻撃は、少数の要人を狙う精密な作業」というイメージだったはずだが、今回確認された13件のキャンペーンは、まとめて数十〜数百件を送る、普通のばらまき型詐欺メールと見分けがつかない規模に踏み込んできた。狙いを絞った一点突破から、数を打てば当たる物量戦へと戦略を変えたという事実は、国家の後ろ盾を持つ攻撃者でさえ、量で攻める雑多なサイバー犯罪の手口を取り入れ始めたことを意味する。IT Postはこの流れを見て、「うちはNGOでも政府機関でもないから関係ない」と安心していい時代ではなくなってきていると考える。手口の磨き込みに資金と時間をかけられる攻撃者が、同じ技術を一般企業向けの詐欺に転用してくるのは時間の問題ではないか。※個人の感想です

今後どうなりそうか

Microsoftは、今回の発表にあわせて、侵害の痕跡情報(IOC)や検知・探索たんさく(ハンティング)のためのガイダンスを公開しており、組織がRedFlickに関連する活動を見つけ、防御するための手がかりを提供しています。Star Blizzardは、手口が公に報じられるたびに検知を逃れるための刷新を繰り返してきたグループであり、今回の報道を受けて、さらに手口を変えてくる可能性があります。IT Postでは、新たな手口や被害範囲の拡大が確認され次第、改めて取り上げます。