Что подтверждено источником
Microsoft описывает RedFlick как технику доставки вредоносного ПО Star Blizzard: в наблюдавшихся кампаниях использовались фишинг, скомпрометированные сайты и задачи планировщика для установки CosmicPulse. Это сведения об исследованной кампании, а не доказательство заражения любого компьютера с похожей задачей.
Microsoft Threat Intelligence: Star Blizzard / RedFlick, 29 September 2026
Далее — редакционный разбор и практические рекомендации Virusologia.
Проблема: доверие к оболочке вместо проверки поведения
Письмо может выглядеть деловым, а процесс иметь знакомое имя. Ни то ни другое не отвечает на главный вопрос: было ли это действие ожидаемым? Для расследования важнее связать открытие файла с последующими процессами, сетевыми обращениями и изменениями системы. Отдельный индикатор полезен как повод проверить цепочку, но недостаточен для категоричного вывода.
Что собрать в первые минуты
Зафиксируйте время сообщения пользователя, идентификатор письма, имя и хэш файла, устройство и учётную запись. Сохраните дерево процессов и события создания задач за соответствующее окно времени. Сопоставьте их с разрешёнными установками ПО. Не просите сотрудника повторно открывать вложение ради воспроизведения. При подтверждённой подозрительной активности используйте утверждённую процедуру изоляции устройства.
Проверка планировщика без удаления наугад
Ниже приведена команда только для чтения: она показывает задачи вне стандартного пространства Microsoft, но не определяет вредоносность. Корпоративное ПО тоже создаёт такие задачи. Сверяйте автора, действие, дату регистрации и связанный установщик; поля автора и описания сами по себе недостоверны. Экспорт расследования храните ограниченно: аргументы задач иногда содержат внутренние адреса или секреты.
Когда расследование действительно закончено
Недостаточно удалить один файл. Нужно установить первоначальный вектор, проверить остальные механизмы автозапуска и затронутые учётные записи, затем подтвердить отсутствие повторного запуска. Если телеметрии за нужный период нет, это ограничение расследования, а не подтверждение чистоты. В отчёте разделяйте наблюдения, подтверждённые действия и оставшиеся неизвестные.
Безопасная инвентаризация задач Windows: PowerShell, только чтение
Get-ScheduledTask |
Where-Object { $_.TaskPath -notlike '\Microsoft\*' } |
Select-Object TaskPath, TaskName, State, Author,
@{Name='Executable';Expression={($_.Actions.Execute -join '; ')}} |
Format-Table -AutoSize