Perfil del APT Star Blizzard: Tácticas, Herramientas y Operaciones

Resumen

Star Blizzard, también rastreado como SEABORGIUM, es un actor de amenazas alineado con Rusia que realiza espionaje a través del robo de credenciales y la recopilación de datos. El grupo confía en técnicas avanzadas de phishing, incluidos kits de adversario en el medio y archivos VHDX maliciosos, para comprometer a individuos de interés político. La actividad reciente muestra una evolución de ataques enfocados en credenciales hacia la implementación de malware en endpoints, incluyendo la puerta trasera CosmicPulse.

Investigación

El informe rastrea la evolución de Star Blizzard desde el robo simple de credenciales de buzones de correo hasta la explotación más compleja de endpoints y el enfoque en dispositivos móviles. Las investigaciones destacan el uso de la cadena de entrega RedFlick y la explotación que involucra al paquete DarkSword para iOS. Los analistas también han observado un cambio de campañas de spear-phishing altamente dirigidas uno a uno hacia campañas de phishing masivo más amplias.

Mitigación

Las mitigaciones clave incluyen la aplicación de MFA resistente al phishing, como FIDO2, y la actualización de dispositivos iOS a la versión 26.3 o posterior. Las organizaciones deben bloquear el montaje de VHD y VHDX donde no sea necesario y restringir las salidas SSH desde estaciones de trabajo de usuarios. También es esencial monitorear las reglas de reenvío de buzón sospechosas y las tareas programadas no autorizadas.

Respuesta

Cuando se detecte actividad de Star Blizzard, las organizaciones deben investigar de inmediato el posible robo de cookies de sesión y el compromiso de cuentas. Para las infecciones en endpoints, aísle los dispositivos afectados y realice un análisis forense de las tareas programadas recién creadas y de la ejecución inusual de Python o PowerShell. Revise todas las reglas de reenvío de buzones para modificaciones no autorizadas o sospechosas.

Ejecución de Simulación

• Narrativa de Ataque & Comandos: El adversario ha obtenido acceso inicial a la estación de trabajo de la víctima. Para mantener una presencia sigilosa y facilitar la comunicación de mando y control (C2), necesitan un lugar para almacenar fragmentos de configuración encriptados. En lugar de dejar caer un archivo en disco que podría ser detectado por el AV, eligen utilizar el Registro de Windows. Específicamente, imitan la técnica de Star Blizzard creando una subclave bajo HKCUSoftwareClasses.mollis. Esto les permite almacenar piezas pequeñas y fragmentadas de datos encriptados que luego se reconstruyen en memoria, haciendo que la reconstrucción forense de la carga completa sea significativamente más difícil.

• Script de Prueba de Regresión:

  # Simulación de creación de claves de registro de Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Fragmento encriptado simulado (codificado en Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulando actividad de Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Clave de registro creada: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Fragmento encriptado escrito en: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulación completa. Verifique SIEM para detección." -ForegroundColor Yellow

• Comandos de Limpieza:

  # Limpiar la clave de registro simulada
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Limpieza completa. Clave de registro eliminada." -ForegroundColor Cyan