Profil de l’acteur menaçant Star Blizzard : Tactiques et outils d’espionnage

Résumé

Star Blizzard, également suivi sous le nom SEABORGIUM, est un acteur menaçant aligné sur la Russie qui mène des opérations d’espionnage par le vol d’identifiants et la collecte de données. Le groupe utilise des techniques de phishing avancées, y compris des kits adversary-in-the-middle et des fichiers VHDX malveillants, pour compromettre des personnes d’intérêt politique. Les activités récentes indiquent un passage des opérations axées sur les identifiants au déploiement de malwares sur les terminaux tels que la porte dérobée CosmicPulse.

Enquête

Le rapport décrit l’évolution de Star Blizzard, passant du vol d’identifiants de boîte aux lettres basique à une exploitation des terminaux plus sophistiquée et un ciblage mobile. Les enquêtes mettent en lumière la chaîne de livraison RedFlick et l’exploitation impliquant le kit iOS DarkSword. Les analystes ont également observé une transition d’attaques de harponnage très ciblées vers des campagnes de phishing de masse plus larges.

Atténuation

Les atténuations clés incluent l’application de MFA résistant au phishing tel que FIDO2 et la mise à jour des appareils iOS vers la version 26.3 ou plus. Les organisations devraient restreindre le montage de VHD et VHDX lorsqu’inutile et limiter les connexions SSH sortantes des stations de travail des utilisateurs. Surveiller les règles de transfert de boîte à lettres suspectes et les tâches planifiées non autorisées est également crucial.

Réponse

Lorsqu’une activité de Star Blizzard est détectée, les organisations doivent enquêter immédiatement sur un potentiel vol de cookies de session et une compromission de comptes. Pour les infections sur les terminaux, isolez les appareils affectés et menez une analyse médico-légale des tâches planifiées nouvellement créées et des exécutions inhabituelles de Python ou PowerShell. Vérifiez les règles de transfert de boîte à lettres pour des changements non autorisés ou suspects.

Exécution de simulation

• Récit de l’attaque & commandes : L’adversaire a obtenu un accès initial à la station de travail de la victime. Pour maintenir une présence discrète et faciliter la communication de commandement et contrôle (C2), ils ont besoin d’un endroit pour stocker des fragments de configuration chiffrés. Au lieu de déposer un fichier sur le disque qui pourrait être détecté par l’AV, ils choisissent d’utiliser le registre Windows. Plus précisément, ils imitent la technique de Star Blizzard de création d’une sous-clé sous HKCUSoftwareClasses.mollis. Cela leur permet de stocker de petites pièces fragmentées de données cryptées qui sont ensuite reconstruites en mémoire, rendant la reconstruction médico-légale de la charge utile complète beaucoup plus difficile.

• Script de test de régression :

  # Simulation de la création de clé de registre Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Fragment chiffré simulé (encodé en Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulation de l'activité Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Clé de registre créée : $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Fragment chiffré écrit à : $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulation complète. Consultez le SIEM pour la détection." -ForegroundColor Yellow

• Commandes de nettoyage :

  # Nettoyage de la clé de registre simulée
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Nettoyage complet. Clé de registre supprimée." -ForegroundColor Cyan