스타 블리자드 위협 행위자 프로파일: 스파이 기법과 도구

요약

SEABORGIUM으로도 추적되는 스타 블리자드는 자격 증명 도용과 데이터 수집을 통한 스파이 활동을 수행하는 지속적인 러시아 연계 위협 행위자입니다. 이 그룹은 적대자-중간자 키트와 악성 VHDX 파일을 포함한 고급 피싱 기법을 사용하여 정치적 관심 대상 개인을 손상시킵니다. 최근 활동에서는 자격 증명 중심의 작업에서 CosmicPulse 백도어와 같은 엔드포인트 악성 소프트웨어 배포로의 전환이 나타나고 있습니다.

조사

이 보고서는 스타 블리자드가 기본적인 메일박스 자격 증명 도용에서 보다 정교한 엔드포인트 착취 및 모바일 타겟팅으로 진화한 과정을 설명합니다. 조사에서는 RedFlick 배달 체인과 DarkSword iOS 키트를 활용한 착취를 강조합니다. 분석가들은 고도로 타깃된 일대일 스피어 피싱에서 보다 넓은 범위의 벌크 피싱 캠페인으로의 전환도 관찰했습니다.

완화

주요 완화 조치로는 FIDO2와 같은 피싱 저항성이 있는 MFA 적용과 iOS 기기의 26.3 버전 이상 업데이트가 포함됩니다. 조직은 불필요한 경우 VHD 및 VHDX 마운팅을 제한하고 사용자 워크스테이션에서의 아웃바운드 SSH를 제한해야 합니다. 의심스러운 메일박스 전달 규칙 및 허가되지 않은 예약 작업을 모니터링하는 것도 중요합니다.

응답

스타 블리자드 활동이 탐지되면 조직은 즉시 세션 쿠키 도용 및 계정 손상 가능성을 조사해야 합니다. 엔드포인트 감염의 경우 영향을 받은 장치를 격리하고 새로 생성된 예약 작업 및 비정상적인 Python 또는 PowerShell 실행의 포렌식 분석을 수행합니다. 허가되지 않은 또는 의심스러운 메일박스 전달 규칙 변경을 검토합니다.

시뮬레이션 실행

• 공격 서사 및 명령: 적군은 피해자의 워크스테이션에 초기 접근을 얻었습니다. 은밀한 존재를 유지하고 명령 및 제어 (C2) 통신을 용이하게 하기 위해, 그들은 암호화된 구성 조각을 저장할 장소가 필요합니다. AV에 의해 플래그가 될 수 있는 디스크에 파일을 떨어뜨리는 대신, 그들은 Windows 레지스트리를 활용하기로 선택합니다. 특히 스타 블리자드 기술을 모방하여 다음의 하위 키를 생성합니다. HKCUSoftwareClasses.mollis. 이로 인해 그들은 나중에 메모리에서 재구축되는 작은 암호화된 데이터 조각을 저장할 수 있으며, 전체 페이로드의 포렌식 재구성을 상당히 어렵게 만듭니다.

• 회귀 테스트 스크립트:

  # 스타 블리자드 레지스트리 키 생성 시뮬레이션
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # 시뮬레이션된 암호화 조각 (Base64 인코딩됨)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] 스타 블리자드 활동 시뮬레이션 중..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] 레지스트리 키 생성: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] 다음에 암호화된 조각을 썼습니다: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] 시뮬레이션 완료. 탐지를 위해 SIEM을 확인하세요." -ForegroundColor Yellow

• 정리 명령:

  # 시뮬레이션된 레지스트리 키 정리
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] 정리 완료. 레지스트리 키 제거." -ForegroundColor Cyan