スター・ブリザード脅威アクタープロファイル：諜報の戦術とツール

概要

Star Blizzard（SEABORGIUMとしても追跡）は、資格情報窃取やデータ収集を通じてスパイ活動を行うロシアの協力者である持続的脅威アクターです。このグループは、高度なフィッシング技法、例えば、攻撃者中間キットや悪意のあるVHDXファイルを用いて、政治関係者をターゲットにしています。最近の活動では、資格情報に重きを置いたオペレーションから、CosmicPulseバックドアのようなエンドポイントマルウェアの展開にシフトしていることが示されています。

調査

報告書は、Star Blizzardの基本的なメールボックス資格情報の窃取から、より高度なエンドポイントの搾取やモバイルターゲティングへの進化を概説しています。調査では、RedFlick配送チェーンやDarkSword iOSキットを利用した搾取が強調されています。また、非常に標的を絞った一対一のスピアフィッシングから、より広範な大量フィッシングキャンペーンへの移行が観察されています。

緩和策

主要な緩和策には、FIDO2のようなフィッシング耐性MFAの強制や、iOSデバイスをバージョン26.3以上に更新することが含まれます。組織は、不要な場合にはVHDおよびVHDXのマウントを制限し、ユーザーワークステーションからの外部SSHを制限すべきです。また、疑わしいメールボックス転送ルールや不正なスケジュールされたタスクの監視も重要です。

対応策

Star Blizzardの活動が検出された場合、組織は直ちにセッションCookieの窃取やアカウントの侵害の可能性を調査すべきです。エンドポイント感染の場合、影響を受けたデバイスを隔離し、新しく作成されたスケジュールされたタスクや異常なPythonまたはPowerShellの実行のフォレンジック分析を行ってください。不正または疑わしい変更がないかメールボックス転送ルールを確認してください。

シミュレーション実行

• 攻撃の流れとコマンド: 攻撃者は被害者のワークステーションへの初期アクセスを得ました。ステルスな存在を維持し、コマンドアンドコントロール（C2）通信を容易にするために、暗号化された構成断片を保存する場所が必要です。AVによってフラグを立てられる可能性のあるディスク上にファイルをドロップする代わりに、Windowsレジストリを利用することを選びます。具体的には、HKCUSoftwareClassesmollis の下にサブキーを作成するStar Blizzardの手法を模倣します。 HKCUSoftwareClasses.mollis。これにより、小さく断片化された暗号化データの断片を格納し、後でメモリ内で再構築することができ、完全なペイロードのフォレンジック再構築をかなり困難にします。

• 回帰テストスクリプト:

  # Star Blizzardレジストリキー作成のシミュレーション
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # シミュレートされた暗号化フラグメント（Base64エンコード）
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Star Blizzardの活動をシミュレート中..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] レジストリキーを作成しました: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] 暗号化されたフラグメントを書き込みました: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] シミュレーション完了。SIEMで検出を確認してください。" -ForegroundColor Yellow

• クリーンアップコマンド:

  # シミュレートされたレジストリキーをクリーンアップ
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] クリーンアップ完了。レジストリキーを削除しました。" -ForegroundColor Cyan