スター・ブリザードAPTプロファイル：戦術、ツール、および作戦

概要

スター・ブリザード（SEABORGIUMとしても追跡されている）は、資格情報の盗難とデータ収集を通じて諜報活動を行う、ロシアに関連する持続的な脅威アクターです。このグループは、敵対者が介在するフィッシングキットや悪意のあるVHDXファイルを含む高度なフィッシング技術を駆使し、政治的関心がある個人を標的に攻撃します。最近の活動では、資格情報を目的とした攻撃からエンドポイントマルウェア展開、CosmicPulseバックドアを含む手法への進化が見られます。

調査

この報告書は、スター・ブリザードの進化を、単純なメールボックス資格情報の盗難からより複雑なエンドポイントの搾取やモバイルへの標的に至るまで追っています。調査では、RedFlickデリバリーチェーンの使用と、DarkSword iOSキットを含む搾取が強調されています。また、非常に標的化された一対一のスピアフィッシングから、より広範なバルクフィッシングキャンペーンへの移行も観察されています。

緩和策

主な緩和策には、FIDO2のようなフィッシング耐性のあるMFAを強制すること、iOSデバイスをバージョン26.3以上に更新することが含まれます。組織は不要なVHDおよびVHDXのマウントをブロックし、ユーザーのワークステーションからの外向きSSHを制限する必要があります。また、疑わしいメールボックス転送ルールや不正なスケジュールされたタスクを監視することも不可欠です。

対応策

スター・ブリザードの活動が検出された場合、組織は直ちにセッションクッキーの盗難やアカウントの侵害の可能性を調査する必要があります。エンドポイント感染の場合は、影響を受けたデバイスを隔離し、新しく作成されたスケジュールされたタスクや異常なPythonまたはPowerShellの実行の法医学的分析を行います。すべてのメールボックス転送ルールを、許可されていないまたは疑わしい変更がないか確認する必要があります。

シミュレーション実行

• 攻撃のナラティブとコマンド： 攻撃者は被害者のワークステーションへの初期アクセスを得ています。ステルス性を保ち、コマンド&コントロール（C2）通信を容易にするために、彼らは暗号化された構成フラグメントを格納する場所を必要としています。AVによってフラグ付けされる可能性のあるファイルをディスクにドロップする代わりに、Windowsレジストリを利用することを選択します。具体的には、スター・ブリザードの手法を模倣し、サブキーを以下に作成します。 HKCUSoftwareClasses.mollis。これにより、記憶において後で再構築される小さな断片の暗号化されたデータを格納することができ、完全なペイロードの法医学的再構築を大幅に困難にします。

• リグレッションテストスクリプト：

  # Star Blizzardレジストリキー作成のシミュレーション
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Simulated encrypted fragment (Base64 encoded)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] シミュレーション中のStar Blizzardの活動..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] レジストリキー作成: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] 暗号化されたフラグメントを書き込みました: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] シミュレーション完了。SIEMで検出を確認してください。" -ForegroundColor Yellow

• クリーンアップコマンド：

  # シミュレートされたレジストリキーをクリーンアップ
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] クリーンアップ完了。レジストリキーを削除しました。" -ForegroundColor Cyan