Perfil do Ator de Ameaça Star Blizzard: Táticas e Ferramentas de Espionagem

Resumo

Star Blizzard, também rastreado como SEABORGIUM, é um ator de ameaça persistente alinhado à Rússia que conduz espionagem por meio de roubo de credenciais e coleta de dados. O grupo usa técnicas avançadas de phishing, incluindo kits de adversário-no-meio e arquivos VHDX maliciosos, para comprometer indivíduos de interesse político. Atividades recentes mostram uma mudança de operações focadas em credenciais para a implantação de malware em endpoints, como o backdoor CosmicPulse.

Investigação

O relatório descreve a evolução do Star Blizzard de roubo básico de credenciais de e-mail para a exploração mais sofisticada de endpoints e o direcionamento móvel. As investigações destacam a cadeia de entrega RedFlick e a exploração envolvendo o kit de iOS DarkSword. Os analistas também observaram uma transição de spear-phishing altamente direcionado induzindo um-a-um para campanhas de phishing por e-mail em massa mais amplas.

Mitigação

As principais mitigações incluem a aplicação de MFA resistente a phishing, como FIDO2, e a atualização de dispositivos iOS para a versão 26.3 ou posterior. As organizações devem restringir a montagem de VHD e VHDX onde não for necessário e limitar o SSH de saída a partir de estações de trabalho dos usuários. Monitorar regras de encaminhamento de e-mail suspeitas e tarefas agendadas não autorizadas também é crítico.

Resposta

Quando for detectada atividade do Star Blizzard, as organizações devem investigar imediatamente o possível roubo de cookies de sessão e comprometimento de contas. Para infecções em endpoints, isole dispositivos afetados e conduza uma análise forense de tarefas agendadas recém-criadas e execução incomum de Python ou PowerShell. Revise regras de encaminhamento de e-mail para alterações não autorizadas ou suspeitas.

Execução de Simulação

• Narrativa do Ataque e Comandos: O adversário obteve acesso inicial à estação de trabalho da vítima. Para manter uma presença furtiva e facilitar a comunicação de comando e controle (C2), eles precisam de um local para armazenar fragmentos de configuração criptografados. Em vez de deixar um arquivo no disco que pode ser sinalizado pelo AV, eles optam por utilizar o Registro do Windows. Especificamente, imitam a técnica Star Blizzard de criar uma subchave em HKCUSoftwareClasses.mollis. Isso permite que armazenem pequenas peças fragmentadas de dados criptografados que são reconstruídas posteriormente na memória, tornando a reconstrução forense da carga completa significativamente mais difícil.

• Script de Teste de Regressão:

  # Simulação de Criação de Chave de Registro Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Fragmento criptografado simulado (codificado em Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Simulando atividade do Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Chave de Registro criada: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Fragmento criptografado gravado em: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Simulação concluída. Verifique SIEM para detecção." -ForegroundColor Yellow

• Comandos de Limpeza:

  # Limpeza da chave de registro simulada
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Limpeza concluída. Chave de registro removida." -ForegroundColor Cyan