스타 블리자드 APT 프로필: 전술, 도구 및 운영

요약

Star Blizzard는 SEABORGIUM으로도 추적되는 러시아 정렬 지속 가능한 위협 행위자로, 자격 증명 탈취 및 데이터 수집을 통해 스파이 활동을 수행하고 있습니다. 이 그룹은 중간자 공격용 키트와 악성 VHDX 파일을 포함한 고급 피싱 기법을 사용하여 정치적 관심 대상 개인들을 위험에 빠뜨리고 있습니다. 최근 활동에서는 자격 증명에 중점을 둔 공격에서 CosmicPulse 백도어를 포함한 엔드포인트 멀웨어 배포로의 진화를 보여주고 있습니다.

조사

보고서는 Star Blizzard가 간단한 메일박스 자격 증명 탈취에서 보다 복잡한 엔드포인트 착취 및 모바일 타겟팅으로의 진화를 추적합니다. 조사 결과 RedFlick 전송 체인과 DarkSword iOS 키트를 사용한 착취가 강조되었습니다. 분석가들은 또한 일대일 맞춤형 피싱에서 보다 광범위한 대량 피싱 캠페인으로의 이동을 관찰했습니다.

완화

주요 완화 조치에는 FIDO2와 같은 피싱 저항 MFA를 시행하고 iOS 장치를 버전 26.3 이상으로 업데이트하는 것이 포함됩니다. 조직은 불필요한 경우에는 VHD와 VHDX 마운팅을 차단하고, 사용자 워크스테이션에서의 아웃바운드 SSH를 제한해야 합니다. 의심스러운 메일박스 포워딩 규칙과 허가되지 않은 예약 작업을 모니터링하는 것도 중요합니다.

응답

Star Blizzard 활동이 감지되면 조직은 즉시 세션 쿠키 탈취와 계정 손상 가능성을 조사해야 합니다. 엔드포인트 감염의 경우, 영향을 받은 장치를 격리하고 새로 생성된 예약 작업과 비정상적인 Python 또는 PowerShell 실행의 포렌식 분석을 수행해야 합니다. 모든 메일박스 포워딩 규칙에 대한 허가받지 않았거나 의심스러운 수정 사항을 검토해야 합니다.

시뮬레이션 실행

• 공격 내러티브 & 명령: 적이 피해자의 워크스테이션에 초기 접근을 얻었습니다. 스텔스 방식으로 존재를 유지하고 명령 및 제어(C2) 통신을 촉진하기 위해, 그들은 암호화된 구성 조각을 저장할 장소가 필요합니다. AV에 의해 플래그될 가능성이 있는 디스크에 파일을 떨어뜨리는 대신, 그들은 Windows 레지스트리를 활용하기로 결정합니다. 구체적으로, 그들은 HKCUSoftwareClasses.mollis아래 하위 키를 생성하는 Star Blizzard 기술을 모방합니다. 이렇게 하면 포렌식 재구성이 전체 페이로드의 포렌식 재구성을 상당히 어렵게 만들면서, 작은 단편의 암호화된 데이터를 저장하고 나중에 메모리 내에서 재구성할 수 있게 됩니다.

• 회귀 테스트 스크립트:

  # Star Blizzard 레지스트리 키 생성 시뮬레이션
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # 시뮬레이션된 암호화된 조각 (Base64 인코딩됨)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Star Blizzard 활동 시뮬레이션 실행 중..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] 레지스트리 키를 생성했습니다: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] 암호화된 조각을 다음 위치에 썼습니다: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] 시뮬레이션이 완료되었습니다. 탐지를 위해 SIEM을 확인하십시오." -ForegroundColor Yellow

• 정리 명령:

  # 시뮬레이션된 레지스트리 키 정리
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] 정리가 완료되었습니다. 레지스트리 키가 제거되었습니다." -ForegroundColor Cyan