Bedrohungsakteur-Profil Star Blizzard: Spionagetaktiken und -Werkzeuge

Zusammenfassung

Star Blizzard, auch verfolgt als SEABORGIUM, ist ein beständiger, russisch ausgerichteter Bedrohungsakteur, der Spionage durch Anmeldeinformationsdiebstahl und Datensammlung betreibt. Die Gruppe verwendet fortschrittliche Phishing-Techniken, einschließlich ‚Adversary-in-the-Middle‘-Kits und bösartigen VHDX-Dateien, um Einzelpersonen von politischem Interesse zu kompromittieren. Jüngste Aktivitäten zeigen einen Wandel von anmeldefokusierten Operationen hin zu einer Verteilung von Endpunkt-Malware wie der CosmicPulse-Hintertür.

Untersuchung

Der Bericht umreißt die Entwicklung von Star Blizzard vom grundlegenden Anmeldediebstahl zu komplexerer Endpunkt-Ausnutzung und mobiler Zielsetzung. Untersuchungen heben die RedFlick-Lieferkette und Ausnutzung unter Einbeziehung des DarkSword-iOS-Kits hervor. Analysten haben auch einen Übergang von hoch zielgerichtetem persönlichem Spear-Phishing zu breiten Massen-Phishing-Kampagnen beobachtet.

Minderung

Wichtige Maßnahmen umfassen die Durchsetzung von Phishing-resistenter MFA wie FIDO2 und die Aktualisierung von iOS-Geräten auf Version 26.3 oder höher. Organisationen sollten das Mounten von VHD- und VHDX-Dateien, wo nicht notwendig, einschränken und ausgehende SSH-Verbindungen von Benutzerarbeitsplätzen begrenzen. Das Überwachen von verdächtigen Weiterleitungsregeln für Postfächer und nicht autorisierten geplanten Aufgaben ist ebenfalls entscheidend.

Reaktion

Bei Erkennung von Star Blizzard-Aktivitäten sollten Organisationen umgehend mögliche Diebstähle von Sitzungs-Cookies und Kontokompromittierungen untersuchen. Bei Endpunktinfektionen sollten betroffene Geräte isoliert und eine forensische Analyse von neu erstellten geplanten Aufgaben und ungewöhnlichen Python- oder PowerShell-Ausführungen durchgeführt werden. Überprüfen Sie Weiterleitungsregeln für Postfächer auf nicht autorisierte oder verdächtige Änderungen.

Simulation der Ausführung

• Angriffserzählung & Befehle: Der Angreifer hat anfänglichen Zugriff auf den Arbeitsplatz des Opfers erlangt. Um eine unauffällige Präsenz aufrechtzuerhalten und die Befehls- und Kontrollkommunikation (C2) zu erleichtern, benötigen sie einen Ort zum Speichern verschlüsselter Konfigurationsfragmente. Anstatt eine Datei auf der Festplatte zu speichern, die möglicherweise von AV markiert wird, nutzen sie die Windows-Registrierung. Sie ahmen speziell die Star Blizzard Technik nach, indem sie einen Unterschlüssel unter HKCUSoftwareClasses.mollis. Dadurch können sie kleine, fragmentierte Stücke verschlüsselter Daten speichern, die später im Speicher rekonstruiert werden, was die forensische Rekonstruktion der vollständigen Nutzlast erheblich erschwert.

• Regressionstestskript:

  # Simulation der Erstellung eines Star Blizzard-Registrierungsschlüssels
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Simuliertes verschlüsseltes Fragment (Base64-kodiert)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simuliere Star Blizzard-Aktivität..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Registrierungsschlüssel erstellt: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Verschlüsseltes Fragment geschrieben nach: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulation abgeschlossen. Überprüfen Sie SIEM auf Erkennung." -ForegroundColor Yellow

• Aufräumbefehle:

  # Der simulierte Registrierungsschlüssel wird bereinigt
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Bereinigung abgeschlossen. Registrierungsschlüssel entfernt." -ForegroundColor Cyan