星暴威胁行为者档案：间谍战术和工具

摘要

Star Blizzard，又名SEABORGIUM，是一个持续存在且与俄罗斯有关的威胁行为者，通过凭证盗窃和数据收集进行间谍活动。该组织使用高级钓鱼技术，包括中间人攻击工具包和恶意VHDX文件，来攻击政治利益相关者。最近的活动显示出从以凭证为重点的操作转向部署如CosmicPulse后门的端点恶意软件。

调查

报告概述了Star Blizzard从基本的邮箱凭证盗窃演变为更复杂的端点开发和移动设备攻击。调查突出了RedFlick传递链和使用DarkSword iOS套件的开发。分析人员还观察到从高度针对性的一对一鱼叉式网络钓鱼向更广泛的批量钓鱼活动的转变。

缓解

关键的缓解措施包括执行抵抗钓鱼的多因素认证（MFA），如FIDO2，并将iOS设备更新至版本26.3或更高。组织应限制不必要的VHD和VHDX挂载，并限制用户工作站的出站SSH。监控可疑的邮箱转发规则和未授权的计划任务也是至关重要的。

响应

当检测到Star Blizzard活动时，组织应立即调查可能的会话Cookie盗窃和账户被攻击。对于端点感染，隔离受影响的设备并对新创建的计划任务和异常的Python或PowerShell执行进行取证分析。检查邮箱转发规则的未经授权或可疑的更改。

模拟执行

• 攻击叙述与命令： 对手已经初步访问了受害者的工作站。为了保持隐秘存在并且支持指挥和控制（C2）通信，他们需要一个存储加密配置片段的地方。与其在磁盘上放置一个可能被防病毒软件标记的文件，他们选择利用Windows注册表。具体来说，他们模仿Star Blizzard的技术，在 HKCUSoftwareClasses.mollis下创建子键。这允许他们存储小的、分散的加密数据片段，这些片段随后在内存中重建，使得完整载荷的取证重建更加困难。

• 回归测试脚本：

  # 模拟Star Blizzard注册表键创建
  $registryPath = "HKCU:SoftwareClasses.mollis"
  $valueName = "ConfigFragment"
  # 模拟的加密片段（Base64编码）
  $encryptedData = "SGVsbG8gV29ybGQhIFRoaXMgaXMgYSBzaW11bGF0ZWQgZW5jcnlwdGVkIGZyYWdtZW50Lg=="
  
  Write-Host "[*] 正在模拟Star Blizzard活动..." -ForegroundColor Cyan
  
  if (-not (Test-Path $registryPath)) {
      New-Item -Path $registryPath -Force | Out-Null
      Write-Host "[+] 创建注册表键：$registryPath" -ForegroundColor Green
  }
  
  Set-ItemProperty -Path $registryPath -Name $valueName -Value $encryptedData
  Write-Host "[+] 写入加密片段至：$registryPath$valueName" -ForegroundColor Green
  Write-Host "[*] 模拟完成。检查SIEM检测。" -ForegroundColor Yellow

• 清理命令：

  # 清理模拟的注册表键
  Remove-Item -Path "HKCU:SoftwareClasses.mollis" -Recurse -Force
  Write-Host "[*] 清理完成。注册表键已移除。" -ForegroundColor Cyan