Profil Aktora Zagrożeń Star Blizzard: Taktyki i Narzędzia Szpiegowskie

Podsumowanie

Star Blizzard, również śledzony jako SEABORGIUM, to persystentna grupa zagrożeń sprzymierzona z Rosją, która prowadzi szpiegostwo poprzez kradzież poświadczeń i zbieranie danych. Grupa wykorzystuje zaawansowane techniki phishingowe, w tym narzędzia adversary-in-the-middle oraz złośliwe pliki VHDX, aby naruszać bezpieczeństwo osób o politycznym znaczeniu. Ostatnia aktywność pokazuje przesunięcie z operacji skoncentrowanych na poświadczeniach w kierunku wdrażania złośliwego oprogramowania na urządzeniach końcowych, takiego jak backdoor CosmicPulse.

Śledztwo

Raport przedstawia ewolucję Star Blizzard od podstawowej kradzieży poświadczeń skrzynek pocztowych do bardziej zaawansowanej eksploatacji urządzeń końcowych i celowania w urządzenia mobilne. Śledztwa podkreślają łańcuch dostarczania RedFlick i eksploatację obejmującą zestaw DarkSword dla iOS. Analitycy zaobserwowali również przejście od silnie ukierunkowanych jednorazowych ataków typu spear phishing w kierunku szerszych kampanii phishingowych.

Środki zaradcze

Kluczowe środki zaradcze obejmują wdrożenie odpornego na phishing MFA, takiego jak FIDO2, oraz aktualizację urządzeń iOS do wersji 26.3 lub nowszej. Organizacje powinny ograniczyć montowanie VHD i VHDX, gdy nie jest to konieczne, oraz ograniczyć wychodzący ruch SSH z komputerów użytkowników. Monitorowanie podejrzanych reguł przekazywania poczty i nieautoryzowanych zadań zaplanowanych jest również kluczowe.

Reakcja

Gdy zostanie wykryta aktywność Star Blizzard, organizacje powinny natychmiast zbadać potencjalną kradzież sesyjnych plików cookie i naruszenie konta. W przypadku infekcji na urządzeniach końcowych, należy odizolować dotknięte urządzenia i przeprowadzić analizę kryminalistyczną nowych zaplanowanych zadań i nietypowych wykonów Python lub PowerShell. Należy przeglądać reguły przekazywania poczty pod kątem nieautoryzowanych lub podejrzanych zmian.

Symulacja wykonania

• Narracja ataku i komendy: Adwersarz uzyskał początkowy dostęp do stanowiska roboczego ofiary. Aby utrzymać dyskretną obecność i ułatwić komunikację dowodzenia i kontroli (C2), potrzebują miejsca do przechowywania zaszyfrowanych fragmentów konfiguracji. Zamiast zapisywać plik na dysku, który mógłby zostać oznaczony przez AV, wybierają wykorzystanie rejestru Windows. Konkretnie, naśladują technikę Star Blizzard polegającą na tworzeniu podklucza pod HKCUSoftwareClasses.mollis. Pozwala to na przechowywanie małych, rozdrobnionych fragmentów zaszyfrowanych danych, które są później rekonstruowane w pamięci, co znacznie utrudnia rekonstrukcję kryminalistyczną pełnego ładunku.

• Skrypt testowy regresji:

  # Symulacja tworzenia klucza rejestru przez Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Symulowany zaszyfrowany fragment (zakodowany w Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Symulacja aktywności Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Utworzono klucz rejestru: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Zapisano zaszyfrowany fragment do: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Symulacja zakończona. Sprawdź SIEM, aby wykryć." -ForegroundColor Yellow

• Komendy do oczyszczania:

  # Usuń symulowany klucz rejestru
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Oczyszczanie zakończone. Klucz rejestru usunięty." -ForegroundColor Cyan