Profil APT Star Blizzard : Tactiques, Outils et Opérations

Résumé

Star Blizzard, également suivi sous le nom SEABORGIUM, est un acteur menaçant persistant aligné sur la Russie menant des opérations d’espionnage par le vol d’informations d’identification et la collecte de données. Le groupe s’appuie sur des techniques de phishing avancées, y compris des kits d’adversaire-au-milieu-de-la-route et des fichiers VHDX malveillants, pour compromettre des personnes d’intérêt politique. Les activités récentes montrent une évolution des attaques axées sur les informations d’identification vers le déploiement de logiciels malveillants sur les points de terminaison, y compris la porte dérobée CosmicPulse.

Enquête

Le rapport retrace l’évolution de Star Blizzard, passant d’un simple vol d’informations d’identification de boîtes aux lettres à une exploitation plus complexe des points de terminaison et des cibles mobiles. Les enquêtes mettent en avant l’utilisation de la chaîne de livraison RedFlick et l’exploitation impliquant le kit iOS DarkSword. Les analystes ont également observé un passage du spear-phishing très ciblé en un-à-un à des campagnes de phishing en masse plus larges.

Atténuation

Les principales mesures d’atténuation incluent l’application d’une authentification multifacteurs résistante au phishing, telle que FIDO2, et la mise à jour des appareils iOS vers la version 26.3 ou ultérieure. Les organisations devraient bloquer le montage de VHD et VHDX lorsque cela n’est pas nécessaire et restreindre les sorties SSH des stations de travail des utilisateurs. Il est également essentiel de surveiller les règles de transfert de boîtes aux lettres suspectes et les tâches planifiées non autorisées.

Réponse

Lorsqu’une activité de Star Blizzard est détectée, les organisations doivent immédiatement enquêter sur un éventuel vol de cookies de session et une compromission de compte. Pour les infections de points de terminaison, isolez les appareils affectés et effectuez une analyse médico-légale des tâches planifiées nouvellement créées et des exécutions Python ou PowerShell inhabituelles. Passez en revue toutes les règles de transfert de boîtes aux lettres pour des modifications non autorisées ou suspectes.

Exécution de la simulation

• Narration d’attaque & Commandes : L’adversaire a obtenu un accès initial au poste de travail de la victime. Pour maintenir une présence furtive et faciliter la communication commande-et-contrôle (C2), ils ont besoin d’un endroit pour stocker des fragments de configuration chiffrés. Au lieu de déposer un fichier sur le disque qui pourrait être détecté par l’antivirus (AV), ils choisissent d’utiliser le Registre Windows. Plus précisément, ils imitent la technique de Star Blizzard en créant une sous-clé sous HKCUSoftwareClasses.mollis. Cela leur permet de stocker de petites pièces fragmentées de données chiffrées qui sont plus tard reconstruites en mémoire, rendant la reconstruction médico-légale de la charge utile complète beaucoup plus difficile.

• Script de test de régression :

  # Simulation de la création de clé de registre Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Fragment chiffré simulé (encodé en Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulation de l'activité Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Clé de registre créée : $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Fragment chiffré écrit dans : $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulation terminée. Vérifiez le SIEM pour la détection." -ForegroundColor Jaune

• Commandes de nettoyage :

  # Nettoyer la clé de registre simulée
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Nettoyage terminé. Clé de registre supprimée." -ForegroundColor Cyan