星暴APT档案：战术、工具与行动

总结

Star Blizzard，也被跟踪为SEABORGIUM，是一个持久的与俄罗斯结盟的威胁行为者，通过凭证盗窃和数据收集进行间谍活动。该组织依靠高级钓鱼技术，包括中间人攻击工具包和恶意的VHDX文件，以对具有政治利益的个人进行攻击。最近的活动显示出从以凭证为重点的攻击向端点恶意软件部署演变，包括CosmicPulse后门。

调查

报告追踪了Star Blizzard从简单的邮箱凭证盗窃到更复杂的端点利用和移动目标的演变。调查强调了RedFlick投递链的使用和涉及DarkSword iOS工具包的利用。分析人员还观察到从高度针对性的一对一鱼叉式网络钓鱼转变为更广泛的大批量钓鱼活动。

缓解措施

关键缓解措施包括实施抗钓鱼的多因素身份验证(MFA)，如FIDO2，并更新iOS设备至版本26.3或更高。组织应阻止不必要的VHD和VHDX挂载，并限制用户工作站的出站SSH。监控可疑的邮箱转发规则和未授权的计划任务也是必不可少的。

响应

当检测到Star Blizzard活动时，组织应立即调查潜在的会话Cookie盗窃和账户妥协。对于端点感染，应隔离受影响的设备，并对新创建的计划任务和异常的Python或PowerShell执行进行取证分析。检查所有邮箱转发规则是否存在未授权或可疑的修改。

仿真执行

• 攻击叙述及指令： 对手已获得初始访问受害者工作站。为了维持隐蔽的存在并促进指挥和控制（C2）通信，他们需要一个存储加密配置片段的地方。不将文件放在磁盘上以避免被AV标记，他们选择利用Windows注册表。具体而言，他们模仿Star Blizzard技术，在以下位置创建子键 HKCUSoftwareClasses.mollis。这允许他们存储小片段的加密数据，稍后在内存中重建，使完整有效负载的法医重建更为困难。

• 回归测试脚本：

  # Star Blizzard注册表项创建的仿真
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # 仿真加密片段（Base64编码）
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] 正在模拟Star Blizzard活动..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] 创建注册表项：$registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] 将加密片段写入：$registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] 仿真完成。检查SIEM以检测。" -ForegroundColor Yellow

• 清理命令：

  # 清理仿真注册表项
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] 清理完成。已删除注册表项。" -ForegroundColor Cyan