Профіль APT Star Blizzard: Тактики, Інструменти та Операції

Резюме

Star Blizzard, також відомий як SEABORGIUM, є загрозою, пов’язаною з Росією, яка постійно здійснює шпигунство через крадіжку облікових даних та збір даних. Група покладається на передові фішингові техніки, включаючи набори “супротивник всередині”, та шкідливі файли VHDX, щоб компрометувати осіб політичного інтересу. Остання активність демонструє еволюцію від атак, зосереджених на облікових даних, до розгортання шкідливого ПЗ на кінцевих точках, включаючи бекдор CosmicPulse.

Розслідування

Звіт простежує еволюцію Star Blizzard від прямої крадіжки облікових даних поштових скринь до більш складної експлуатації кінцевих точок і мобільного націлювання. Розслідування підкреслюють використання ланцюга доставки RedFlick та експлуатації з використанням DarkSword iOS-кіта. Аналітики також спостерігали перехід від цільових атака-сулка “один на один” до ширших фішингових кампаній.

Пом’якшення

Ключові заходи включають впровадження фішингостійкої багатофакторної аутентифікації, такої як FIDO2, і оновлення пристроїв iOS до версії 26.3 або пізнішої. Організації повинні блокувати монтаж VHD та VHDX, якщо він не потрібен, та обмежити вихідний SSH з робочих станцій користувачів. Також важливо стежити за підозрілими правилами пересилання пошти та несанкціонованими запланованими завданнями.

Реагування

Якщо виявлена активність Star Blizzard, організації повинні негайно розслідувати можливу крадіжку сесійних cookie-файлів та компрометацію облікових записів. Для інфекцій кінцевих точок ізолюйте уражені пристрої та проведіть судову експертизу новостворених запланованих завдань та незвичайних виконань Python або PowerShell. Перевірте всі правила пересилання пошти на несанкціоновані або підозрілі зміни.

Імітаційне виконання

• Атака Narrative & Команди: Противник отримав початковий доступ до робочої станції жертви. Щоб підтримувати приховану присутність і полегшити командно-контрольне зв’язкування (C2), вони потребують місця для збереження зашифрованих фрагментів конфігурації. Замість того, щоб залишити файл на диску, який може бути позначений AV, вони обирають використовувати реєстр Windows. Зокрема, вони імітують техніку Star Blizzard, створюючи підключ у HKCUSoftwareClasses.mollis. Це дозволяє їм зберігати невеликі, фрагментовані шматки зашифрованих даних, які згодом відновлюються в пам’яті, ускладнюючи судову реконструкцію повного навантаження.

• Сценарій тесту на регресію:

  # Імітація створення ключа реєстру Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Імітаційний зашифрований фрагмент (з Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Імітація активності Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Ключ реєстру створено: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Зашифрований фрагмент записаний у: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Імітацію завершено. Перевірте SIEM для виявлення." -ForegroundColor Yellow

• Команди очистки:

  # Очистіть імітований ключ реєстру
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Очищення завершено. Ключ реєстру видалено." -ForegroundColor Cyan