Профіль загрози Star Blizzard: Тактики та Інструменти Шпигунства

Резюме

Star Blizzard, також відомий як SEABORGIUM, є постійним загрозливим актором, що вирівнюється з Росією, який проводить шпигунство через крадіжку облікових даних і збору даних. Група використовує передові методи фішингу, включаючи набори «супротивник-в-середині» та шкідливі файли VHDX, щоб скомпрометувати осіб з політичними інтересами. Недавня активність показує зсув від операцій, що фокусуються на облікових даних, до розгортання шкідливих програм на кінцевих точках, таких як бекдор CosmicPulse.

Розслідування

У звіті вказана еволюція Star Blizzard від базової крадіжки облікових даних до більш складної експлуатації кінцевих точок та мобільного націлювання. Розслідування підкреслюють ланцюг доставки RedFlick і експлуатацію, що включає DarkSword iOS kit. Аналітики також спостерігали перехід від високоцільового spear-фішингу один-на-один до ширших кампаний масового фішингу.

Послаблення

Основні послаблення включають впровадження фішингостійкої багатофакторної аутентифікації, такої як FIDO2, та оновлення пристроїв iOS до версії 26.3 або пізнішої. Організації повинні обмежити монтування VHD і VHDX, де це не потрібно, та обмежити вихідний SSH з робочих станцій користувачів. Також критично важливо контролювати підозрілі правила пересилання пошти та несанкціоновані заплановані завдання.

Відповідь

Коли виявлено активність Star Blizzard, організації повинні негайно розслідувати можливе крадіжку сесійних кукі та компрометацію облікових записів. Для інфекцій кінцевих точок ізолюйте постраждалі пристрої та проведіть судово-медичний аналіз новостворених запланованих завдань та незвичайного виконання Python або PowerShell. Перегляньте правила пересилання пошти на предмет несанкціонованих або підозрілих змін.

Виконання симуляції

• Опис атаки та команди: Супротивник отримав початковий доступ до робочої станції жертви. Щоб підтримувати непомітну присутність і покращити зв’язок командування і контролю (C2), їм потрібно місце для зберігання зашифрованих фрагментів конфігурації. Замість того, щоб зберігати файл на диску, який може бути виявлений антивірусом, вони вибирають використовувати реєстр Windows. Зокрема, вони імітують техніку Star Blizzard для створення підключу під HKCUSoftwareClasses.mollis. Це дозволяє зберігати малі, фрагментовані частини зашифрованих даних, які пізніше реконструюються в пам’яті, що значно ускладнює судово-медичну реконструкцію повного завантаження.

• Скрипт тестування регресії:

  # Симуляція створення ключа реєстру Star Blizzard
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # Симульований зашифрований фрагмент (закодований Base64)
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] Симулюємо активність Star Blizzard..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] Створено ключ реєстру: $registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] Записано зашифрований фрагмент до: $registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] Симуляція завершена. Перевірте SIEM для виявлення." -ForegroundColor Yellow

• Команди очищення:

  # Видалення симульованого ключа реєстру
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] Очищення завершено. Ключ реєстру видалено." -ForegroundColor Cyan