ロシア政府系攻撃集団「Star Blizzard」、偽のイベント招待状で100以上の組織にバックドアを配布

要点

• ロシア政府系サイバー攻撃グループ「Star Blizzard」が、偽のイベント招待状などを悪用してWindows端末にバックドアを感染させる攻撃を展開している。

• 米マイクロソフトの報告によると、2026年1月以降にウクライナ関連の米英など100以上の組織が標的となり、少なくとも1台の感染が確認された。

• 攻撃者は侵害したWebサーバーのメールアカウントや「RedFlick」と呼ばれるタスクスケジューラ悪用手法を用い、バックドア「CosmicPulse」を侵入させている。

• 一部のキャンペーンでは、Windows向けバックドアの代わりにiPhone向けエクスプロイトキット「DarkSword」へ誘導する手口も確認された。

• 米マイクロソフトは2026年9月29日、ロシア政府との関連が指摘されるサイバー攻撃グループ「Star Blizzard」が、偽のイベント招待状などを用いて標的組織のコンピューターにバックドア（外部から不正操作するための不正プログラム）を感染させる攻撃を行っていることを明らかにした。

• この攻撃はウクライナに関連する人物や組織を主な標的としており、2026年1月以降、米国や英国を中心に100以上の組織が標的となっている。現時点で少なくとも1台の端末への感染が確認されているが、実際に侵害された組織の総数は公表されていない。

著名シンクタンクや公的機関を騙る高度なフィッシング手口

Star Blizzardは、米国、英国、オーストラリア、カナダ、ニュージーランドの5カ国セキュリティ機関が2023年12月にロシア連邦保安庁（FSB）第18センター配下のグループである可能性が極めて高いと発表したサイバー脅威アクターだ。従来から知人を装って標的からメールの認証情報を盗み出す手口を多用しており、2023年時点ですでに偽の国際会議やイベントの招待状を囮（おとり）として悪用し、標的と事前にメッセージをやり取りして信頼を得てから不正なリンクを送る手法を用いていた。

マイクロソフトの分析によると、同グループは2026年に入り、通常の標的型フィッシングに加えて数十通から数百通規模のメールを送信する大規模なキャンペーンを少なくとも13回実施したという。また、攻撃インフラにも変化が見られ、これまではProtonやマイクロソフトの無料個人メールサービスを主に利用していたのに対し、3月以降は不正に侵害したWordPressやcPanel（Webホスティング管理ツール）のWebサイト上のメールアカウントが悪用されている。マイクロソフトは、これらのアカウントが攻撃目的で侵害されたものであると高い確信度で判断している。

フィッシングメールの囮には、英王立国際問題研究所（チャタムハウス）や米大西洋評議会といった著名なシンクタンクやNGOが主催者として記載されていた。中には標的組織の内部関係者から送信されたように偽装されたメールも多数存在したという。手口の特徴として、初回のメールには添付ファイルを含めず、標的が返信した場合にのみパスワード保護されたRARまたはZIP形式の圧縮ファイルを送信する。その解凍パスワードは、セキュリティ製品による自動スキャンを回避するため画像ファイル内に記載されていた。

また、1月から2月にかけての初期の攻撃では、ウクライナのメールサービス「Ukr.net」の利用者に向けてウクライナ当局を装った偽の税務監査や罰金通知が送られていた。その後もキーウ市内のホテルに向けた断水通知や、国際金融機関の職員を狙った支払い通知など、標的に応じた多様な囮が使われている。

新手法「RedFlick」とバックドア「CosmicPulse」の感染メカニズム

マルウェアの配布手法についても手口の移行が見られる。2025年、同グループは偽のCAPTCHA（人間かボットかを判別する認証画面）ページを使って被害者自身に不正なコマンドを実行させる「ClickFix」と呼ばれる手法を採用していた。しかし2026年に入り、マイクロソフトが「RedFlick」と命名した新たな手法へと移行した。RedFlickは、Windowsが自動的にプログラムを実行する仕組みである「タスクスケジューラ」を利用して、「CosmicPulse」と呼ばれるバックドアをインストールする。

マイクロソフトが追跡した複数の感染チェーンでは、いずれもPDF文書に見せかけたショートカットファイル（.LNK）が攻撃の起点となっていた。標的がこのショートカットを開くと、バックグラウンドで隠しコマンドが動作し、外部の遠隔サーバーからWindowsインストーラー（MSIパッケージ）をダウンロードする仕組みだ。1月の攻撃ではSSHプログラムを用いた隠しスクリプトが悪用され、7月の攻撃ではダウンロードされたPDF内部にインストーラー取得コマンドが仕込まれていた。

4月に確認されたバージョンでは、ダウンロードされたインストーラーが正規のネットワークコンポーネントに見せかけた以下の3つのスケジュールされたタスクをWindows内に作成していた。

• Internet Quality Test Connection: 端末のコンピューター名とユーザー名を攻撃者のC2サーバー（指令サーバー）へ送信し、遠隔地から追加のコードを実行可能にする。
• Network Configuration Manager: Windows上でWebアドレスを開く機能であるWebDAVを構成する。
• System Health Monitor: システム監視を装ったタスク。

iPhoneを標的とする攻撃キット「DarkSword」の確認

2026年3月に実施されたキャンペーンの中には、通常とは異なる手口も確認された。大西洋評議会を装った招待メールに返信した標的に対し、Windows向けのバックドアではなく、iPhoneを標的としたエクスプロイトキット（脆弱性悪用ツール群）である「DarkSword」へのリンクが送られていたという。

この動きについては他のセキュリティ企業も報告している。米Proofpointは3月、Star Blizzardによる大西洋評議会をテーマにしたメールの送信とメールトラフィックの急増を観測した。また、米Trellixも3月26日に送信された4通の該当メールを検出している。ただし、Trellixが確認した時点では攻撃用ページがすでにオフラインとなっており、悪用コード自体は回収できなかったため、DarkSwordへの誘導であったかどうかの確信度は中程度としている。