Profili Star Blizzard APT: Tattiche, Strumenti e Operazioni

Sommario

Star Blizzard, noto anche come SEABORGIUM, è un attore di minaccia persistente allineato con la Russia che conduce spionaggio attraverso il furto di credenziali e la raccolta di dati. Il gruppo si affida a tecniche di phishing avanzate, inclusi kit avversari-in-the-middle e file VHDX dannosi, per compromettere persone di interesse politico. L’attività recente mostra un’evoluzione dagli attacchi focalizzati sulle credenziali al dispiegamento di malware su endpoint, incluso il backdoor CosmicPulse.

Indagine

Il rapporto traccia l’evoluzione di Star Blizzard dal furto di credenziali di caselle postali semplice allo sfruttamento di endpoint più complesso e al targeting mobile. Le indagini evidenziano l’uso della catena di consegna RedFlick e lo sfruttamento che coinvolge il kit iOS DarkSword. Gli analisti hanno anche osservato un passaggio dal spear-phishing altamente mirato di tipo one-to-one verso campagne di phishing in massa più ampie.

Mitigazione

Le mitigazioni chiave includono l’imposizione di MFA resistente al phishing come FIDO2 e l’aggiornamento dei dispositivi iOS alla versione 26.3 o successiva. Le organizzazioni dovrebbero bloccare il montaggio di VHD e VHDX dove non necessario e restringere l’uscita SSH dalle postazioni di lavoro degli utenti. Monitorare le regole di inoltro della posta sospette e i compiti programmati non autorizzati è anche essenziale.

Risposta

Quando viene rilevata un’attività di Star Blizzard, le organizzazioni dovrebbero immediatamente indagare sul possibile furto di cookie di sessione e compromissione dell’account. Per le infezioni endpoint, isolare i dispositivi interessati ed eseguire un’analisi forense dei compiti programmati di nuova creazione e dell’esecuzione insolita di Python o PowerShell. Riesaminare tutte le regole di inoltro della posta per modifiche non autorizzate o sospette.

Esecuzione Simulata

• Narrativa sull’attacco & comandi: L’avversario ha ottenuto l’accesso iniziale alla workstation della vittima. Per mantenere una presenza furtiva e facilitare la comunicazione di comando e controllo (C2), necessita di un posto dove conservare i frammenti di configurazione criptati. Invece di salvare un file sul disco che potrebbe essere segnalato dall’antivirus, scelgono di utilizzare il Registro di Windows. Nello specifico, imitano la tecnica di Star Blizzard creando una sottochiave sotto HKCUSoftwareClasses.mollis. Questo permette di memorizzare piccoli pezzi frammentati di dati criptati che sono successivamente ricostruiti in memoria, rendendo la ricostruzione forense del carico completo significativamente più difficile.

• Script di Test di Regressione:

  # Simulazione della Creazione della Chiave di Registro di Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Frammento crittografato simulato (codificato in Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulazione dell'attività di Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Chiave di Registro Creata: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Frammento criptato scritto a: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulazione completata. Controlla SIEM per rilevamento." -ForegroundColor Yellow

• Comandi di Pulizia:

  # Pulire la chiave di registro simulata
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Pulizia completata. Chiave di registro rimossa." -ForegroundColor Cyan