Star Blizzard APT-Profil: Taktiken, Werkzeuge und Operationen

Zusammenfassung

Star Blizzard, auch verfolgt als SEABORGIUM, ist ein beharrlicher, russisch-ausgerichteter Bedrohungsakteur, der Spionage durch Anmeldeinformationsdiebstahl und Datenerfassung betreibt. Die Gruppe setzt auf fortschrittliche Phishing-Techniken, darunter Adversary-in-the-Middle-Kits und bösartige VHDX-Dateien, um Personen von politischem Interesse zu kompromittieren. Jüngste Aktivitäten zeigen eine Entwicklung von anmeldeinformationsfokussierten Angriffen hin zur Bereitstellung von Endpunkt-Malware, einschließlich des CosmicPulse-Backdoors.

Untersuchung

Der Bericht verfolgt die Entwicklung von Star Blizzard vom einfachen Postfach-Anmeldedaten-Diebstahl hin zu komplexerer Endpunkt-Ausnutzung und mobiler Zielerfassung. Untersuchungen betonen die Nutzung der RedFlick-Delivery-Kette und Ausnutzungen des DarkSword-iOS-Kits. Analysten haben zudem einen Wandel von stark zielgerichteten, direkten Spear-Phishing-Angriffen hin zu umfassenderen Bulk-Phishing-Kampagnen beobachtet.

Minderung

Wichtige Gegenmaßnahmen beinhalten die Durchsetzung von phishing-resistenter MFA wie FIDO2 sowie das Aktualisieren von iOS-Geräten auf Version 26.3 oder höher. Organisationen sollten das Einhängen von VHD- und VHDX-Dateien dort blockieren, wo es nicht notwendig ist, und den ausgehenden SSH-Verkehr von Benutzerarbeitsstationen einschränken. Es ist auch wichtig, auf verdächtige Posteingangs-Weiterleitungsregeln und nicht autorisierte geplante Aufgaben zu überwachen.

Reaktion

Wenn Star Blizzard-Aktivität festgestellt wird, sollten Organisationen sofort potenziellen Sitzungscookie-Diebstahl und Kontenkompromittierung untersuchen. Bei Endpunktinfektionen sollten betroffene Geräte isoliert und eine forensische Analyse neu erstellter geplanter Aufgaben und ungewöhnlicher Python- oder PowerShell-Ausführungen durchgeführt werden. Überprüfen Sie alle Posteingangs-Weiterleitungsregeln auf nicht autorisierte oder verdächtige Änderungen.

Simulationsausführung

• Angriffsnarrativ & Befehle: Der Gegner hat anfänglichen Zugriff auf die Workstation des Opfers erlangt. Um eine unauffällige Präsenz zu bewahren und die Command-and-Control (C2)-Kommunikation zu erleichtern, benötigen sie einen Ort zur Speicherung verschlüsselter Konfigurationsfragmente. Anstatt eine Datei auf der Festplatte abzulegen, die möglicherweise von AV markiert wird, wählen sie die Nutzung der Windows-Registry. Sie imitieren speziell die Star Blizzard-Technik, indem sie einen Unterschlüssel unter HKCUSoftwareClasses.mollis. Dadurch können sie kleine, fragmentierte Stücke verschlüsselter Daten speichern, die später im Speicher rekonstruiert werden, was die forensische Rekonstruktion der gesamten Nutzlast erheblich erschwert.

• Regressionstests-Skript:

  # Simulation der Star Blizzard-Registry-Schlüssel-Erstellung
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Simuliertes verschlüsseltes Fragment (Base64-kodiert)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simuliere Star Blizzard-Aktivität..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Registry-Schlüssel erstellt: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Verschlüsseltes Fragment geschrieben nach: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulation abgeschlossen. SIEM auf Erkennung prüfen." -ForegroundColor Yellow

• Bereinigungskommandos:

  # Bereinigung des simulierten Registry-Schlüssels
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Bereinigung abgeschlossen. Registry-Schlüssel entfernt." -ForegroundColor Cyan