Profil APT Star Blizzard: Taktyki, Narzędzia i Operacje

Podsumowanie

Star Blizzard, znany również jako SEABORGIUM, to trwały zagrożenie związane z Rosją, prowadzące działalność szpiegowską poprzez kradzież poświadczeń i zbieranie danych. Grupa polega na zaawansowanych technikach phishingu, w tym zestawach przeciwnika w środku i złośliwych plikach VHDX, aby atakować osoby o znaczeniu politycznym. Ostatnia aktywność wskazuje na ewolucję od ataków koncentracyjnych na poświadczenia do wdrażania złośliwego oprogramowania na końcówkach, w tym tylnej furtki CosmicPulse.

Dochotzenie

Raport śledzi ewolucję Star Blizzard od prostego kradzieży poświadczeń skrzynki pocztowej do bardziej złożonej eksploatacji na końcówkach i celowania w urządzenia mobilne. Dochodzenia podkreślają użycie łańcucha dostarczania RedFlick oraz eksploatację z wykorzystaniem zestawu DarkSword iOS. Analitycy zauważyli również przesunięcie od bardzo celowych ataków spear-phishing na szersze kampanie phishingowe.

Łagodzenie

Kluczowe środki zapobiegawcze to m.in. egzekwowanie odpornego na phishing MFA, takiego jak FIDO2, oraz aktualizacja urządzeń iOS do wersji 26.3 lub nowszej. Organizacje powinny blokować montowanie VHD i VHDX tam, gdzie to niepotrzebne, i ograniczać wychodzące połączenia SSH z komputerów roboczych użytkowników. Monitorowanie podejrzanych zasad przekazywania wiadomości i nieautoryzowanych zadań zaplanowanych jest również kluczowe.

Reakcja

Kiedy wykryte zostanie działanie Star Blizzard, organizacje powinny natychmiast zbadać potencjalną kradzież plików cookie sesji i kompromitację konta. W przypadku infekcji końcówek, należy izolować zainfekowane urządzenia i przeprowadzić analizę kryminalistyczną nowo utworzonych zadań zaplanowanych oraz nieuzasadnionego wykonywania Python lub PowerShell. Przejrzenie wszystkich zasad przekazywania poczty pod kątem nieautoryzowanych lub podejrzanych modyfikacji jest także niezbędne.

Symulacja wykonania

• Narracja ataku i polecenia: Przeciwnik uzyskał początkowy dostęp do stanowiska roboczego ofiary. Aby utrzymać ukrytą obecność i umożliwić komunikację komendy i kontroli (C2), potrzebują miejsca na przechowywanie zaszyfrowanych fragmentów konfiguracji. Zamiast zrzucania pliku na dysk, który może zostać oznaczony przez AV, wybierają wykorzystanie Rejestru systemu Windows. Konkretnie, imitują technikę Star Blizzard tworzenia podklucza pod HKCUSoftwareClasses.mollis. To pozwala im na przechowywanie małych, podzielonych fragmentów zaszyfrowanych danych, które są później rekonstruowane w pamięci, co znacząco utrudnia kryminalistyczną rekonstrukcję pełnego ładunku.

• Skrypt testowy regresji:

  # Symulacja tworzenia klucza rejestru Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Zasymulowany zaszyfrowany fragment (kodowany w Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Symulowanie aktywności Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Utworzono klucz rejestru: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Zapisano zaszyfrowany fragment do: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Symulacja zakończona. Sprawdź wykrycie w SIEM." -ForegroundColor Yellow

• Polecenia czyszczące:

  # Czyszczenie symulowanego klucza rejestru
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Czyszczenie zakończone. Klucz rejestru usunięty." -ForegroundColor Cyan