Perfil da APT Star Blizzard: Táticas, Ferramentas e Operações

Sumário

Star Blizzard, também rastreado como SEABORGIUM, é um agente de ameaça persistente alinhado com a Rússia que realiza espionagem através do roubo de credenciais e coleta de dados. O grupo depende de técnicas avançadas de phishing, incluindo kits adversary-in-the-middle e arquivos VHDX maliciosos, para comprometer indivíduos de interesse político. Atividades recentes mostram uma evolução de ataques focados em credenciais para a implantação de malware em endpoints, incluindo o backdoor CosmicPulse.

Investigação

O relatório traça a evolução do Star Blizzard, desde o roubo simples de credenciais de caixas de correio até explorações de endpoints mais complexas e visando dispositivos móveis. Investigações destacam o uso da cadeia de entrega RedFlick e exploração envolvendo o kit iOS DarkSword. Analistas também observaram uma mudança de campanhas de spear-phishing altamente direcionadas de um para um para campanhas de phishing em massa mais amplas.

Mitigação

Mitigações chave incluem a aplicação de MFA resistente a phishing, como FIDO2, e a atualização de dispositivos iOS para a versão 26.3 ou posterior. As organizações devem bloquear o montante de VHD e VHDX quando desnecessário e restringir o SSH de saída a partir de estações de trabalho dos usuários. Monitorar regras de encaminhamento de caixa de correio suspeitas e tarefas agendadas não autorizadas também é essencial.

Resposta

Quando atividade do Star Blizzard for detectada, as organizações devem investigar imediatamente possíveis roubos de cookies de sessão e comprometimentos de contas. Para infecções em endpoints, isolar dispositivos afetados e realizar análise forense das tarefas agendadas recém-criadas e execuções de Python ou PowerShell incomuns. Revisar todas as regras de encaminhamento de caixa de correio para modificações não autorizadas ou suspeitas.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário obteve acesso inicial à estação de trabalho da vítima. Para manter uma presença furtiva e facilitar a comunicação de comando-e-controle (C2), eles precisam de um lugar para armazenar fragmentos de configuração criptografados. Em vez de soltar um arquivo no disco, o que pode ser sinalizado pelo AV, eles optam por utilizar o Registro do Windows. Especificamente, eles imitam a técnica do Star Blizzard de criar uma subchave sob HKCUSoftwareClasses.mollis. Isso lhes permite armazenar pequenas peças fragmentadas de dados criptografados que são posteriormente reconstruídas na memória, tornando a reconstrução forense da carga útil completa significativamente mais difícil.

• Script de Teste de Regressão:

  # Simulação de Criação de Chave de Registro Star Blizzard
  $registroCaminho = "HKCU:SoftwareClasses.mollis"
  $nomeValor = "ConfigFragment"
  # Fragmento criptografado simulado (codificado em Base64)
  $dadosCriptografados = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulando atividade do Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registroCaminho)) {
      New-Item -Path $registroCaminho -Force | Out-Null
      Write-Host "[+] Chave de Registro Criada: $registroCaminho" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registroCaminho -Name $nomeValor -Value $dadosCriptografados
  Write-Host "[+] Fragmento criptografado escrito em: $registroCaminho$nomeValor" -ForegroundColor Green
  Write-Host "[*] Simulação completa. Verifique SIEM para detecção." -ForegroundColor Yellow

• Comandos de Limpeza:

  # Limpeza da chave de registro simulada
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Limpeza completa. Chave de registro removida." -ForegroundColor Cyan