Profilo della Minaccia dell’Attore Star Blizzard: Tattiche e Strumenti di Spionaggio

Sommario

Star Blizzard, noto anche come SEABORGIUM, è un attore di minacce persistenti allineato alla Russia che conduce spionaggio mediante furto di credenziali e raccolta di dati. Il gruppo utilizza tecniche di phishing avanzate, inclusi kit di avversari-nel-mezzo e file VHDX dannosi, per compromettere individui di interesse politico. L’attività recente mostra un passaggio da operazioni focalizzate sulle credenziali al dispiegamento di malware sugli endpoint come la backdoor CosmicPulse.

Indagine

Il rapporto descrive l’evoluzione di Star Blizzard dal furto semplice di credenziali di posta elettronica a uno sfruttamento più sofisticato degli endpoint e un targeting mobile. Le indagini evidenziano la catena di consegna RedFlick e lo sfruttamento che coinvolge il kit DarkSword iOS. Gli analisti hanno anche osservato una transizione dal phishing mirato uno-a-uno verso campagne di phishing di massa più ampie.

Mitigazione

Le mitigazioni chiave includono l’implementazione di MFA resistente al phishing come FIDO2 e l’aggiornamento dei dispositivi iOS alla versione 26.3 o successive. Le organizzazioni dovrebbero limitare il montaggio di VHD e VHDX quando non necessario e limitare l’SSH in uscita dalle workstation degli utenti. Monitorare le regole di inoltro della posta sospette e i task pianificati non autorizzati è inoltre fondamentale.

Risposta

Quando viene rilevata un’attività di Star Blizzard, le organizzazioni dovrebbero immediatamente indagare su potenziali furti di cookie di sessione e compromissioni di account. Per infezioni sugli endpoint, isolare i dispositivi compromessi e condurre un’analisi forense dei task pianificati di recente creazione e delle esecuzioni insolite di Python o PowerShell. Esaminare le regole di inoltro della posta per cambiamenti non autorizzati o sospetti.

Esecuzione della simulazione

• Narrativa dell’attacco & Comandi: L’avversario ha ottenuto l’accesso iniziale alla workstation della vittima. Per mantenere una presenza furtiva e facilitare la comunicazione di comando e controllo (C2), hanno bisogno di un luogo per memorizzare frammenti di configurazione crittografati. Invece di scaricare un file su disco che potrebbe essere segnalato dall’antivirus, scelgono di utilizzare il registro di Windows. In particolare, imitano la tecnica di Star Blizzard creando una sottochiave in HKCUSoftwareClasses.mollis. Questo permette loro di memorizzare piccole porzioni frammentate di dati crittografati che vengono successivamente ricostruiti in memoria, rendendo la ricostruzione forense del carico utile completo significativamente più difficile.

• Script di test per la regressione:

  # Simulazione di creazione chiavi di registro Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Frammento crittografato simulato (codificato in Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulazione dell'attività di Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Chiave di registro creata: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Frammento crittografato scritto su: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulazione completata. Controlla il SIEM per la rilevazione." -ForegroundColor Yellow

• Comandi di pulizia:

  # Rimuovere la chiave di registro simulata
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Pulizia completata. Chiave di registro rimossa." -ForegroundColor Cyan