1. De Russische hackersgroep, die door Microsoft Star Blizzard wordt genoemd en gelieerd is aan de FSB, heeft haar aanvalsmethoden verfijnd om het afluisteren van slachtoffers te vergemakkelijken en het aantal doelwitten wereldwijd uit te breiden. Deze groep staat ook bekend onder de namen SEABORGIUM, Callisto Group, TA446 en COLDRIVER.

2. In 2026 heeft Star Blizzard een verschuiving gemaakt van exclusief gerichte spear-phishingoperaties naar grootschaligere phishingcampagnes. Eerdere waarnemingen van deze groep door Microsoft dateren uit 2023 en 2025, met opruimingspogingen in 2024.

3. Deze grootschaligere campagnes variëren van tientallen tot honderden e-mails per campagne. Sinds januari 2026 heeft Microsoft ten minste 13 verschillende grootschalige phishingcampagnes waargenomen, voornamelijk gericht op NGO's, denktanks en overheidsorganisaties wereldwijd.

4. De grotere schaal van de phishingoperaties suggereert het gebruik van een massamailingsplatform om de uitvoering van campagnes te automatiseren en de kans op succesvolle compromissen te vergroten.

5. De groep richt zich met name op overheden, denktanks en non-profitorganisaties.

6. De RedFlick-campagnes hebben Oekraïners, financiële instellingen en regeringen die Oekraïne steunen, als doelwit. De initiële doelwitten bevonden zich in Oekraïne, maar in het voorjaar van 2026 breidde de groep de targeting uit naar entiteiten buiten Oekraïne. De verschuiving van Oekraïne-gerichte operaties naar wereldwijde doelwitten kan erop duiden dat Star Blizzard Oekraïne aanvankelijk gebruikte om nieuwe capaciteiten te testen.

7. Meer dan 100 organisaties, voornamelijk in de Verenigde Staten en het Verenigd Koninkrijk, zijn getroffen door deze activiteit.

8. De effectiviteit van RedFlick wordt mede bepaald door het feit dat de infectie slechts één gebruikersinteractie vereist, wat het compromisproces vereenvoudigt.

9. RedFlick is een adaptieve malware-bezorgingstechniek die detectie probeert te omzeilen door geplande taken in te stellen om de aangepaste backdoor van de actor, CosmicPulse, te implementeren.

10. Veelvoorkomende phishinglokmiddelen zijn uitnodigingen voor exclusieve evenementen, maar ook informatie over vermeende belastingcontroles, betalingsherinneringen en boetes.