De Russische 'Star Blizzard' APT verbetert zijn stealth, maar wordt opnieuw ontmaskerd

De Russische 'Star Blizzard' APT verbetert zijn stealth, maar wordt opnieuw ontmaskerd

Tijdstempel: 7 december 2023 5:10 uur
De Russische 'Star Blizzard' APT upgradet zijn stealth, maar wordt opnieuw ontmaskerd PlatoBlockchain Data Intelligence. Verticaal zoeken. Ai.

Na meerdere blootstellingen en verstoringen heeft een door het Kremlin gesponsorde APT-speler (Advanced Persistent Threat) zijn ontwijkingstechnieken opnieuw geüpgraded. Deze stap werd deze week echter ook door Microsoft aan het licht gebracht.

“Star Blizzard” (ook bekend als Seaborgium, BlueCharlie, Callisto Group en Coldriver) voert sinds minstens 2017 diefstal van e-mailgegevens uit in dienst van cyberspionage en cyberinvloedcampagnes. Historisch gezien heeft het zijn doel gericht op publieke en private organisaties in de NAVO lidstaten, doorgaans op gebieden die verband houden met politiek, defensie en aanverwante sectoren – NGO’s, denktanks, journalisten, academische instellingen, intergouvernementele organisaties, enzovoort. De afgelopen jaren heeft de actie zich vooral gericht op personen en organisaties die steun verlenen aan Oekraïne.

Maar naast elke succesvolle inbreuk staat Star Blizzard ook bekend om zijn OpSec-mislukkingen. Microsoft ontwrichtte de groep in augustus 2022 en in de tijd daarna heeft Recorded Future het op niet zo subtiele wijze gevolgd geprobeerd over te stappen op nieuwe infrastructuur. En donderdag keerde Microsoft terug om verslag uit te brengen zijn laatste pogingen tot ontduiking. Deze inspanningen omvatten vijf belangrijke nieuwe trucs, met name de bewapening van e-mailmarketingplatforms.

Microsoft weigerde commentaar te geven op dit artikel.

De nieuwste TTP's van Star Blizzard

Om te helpen om langs e-mailfilters te sluipen, is Star Blizzard begonnen met het gebruik van met een wachtwoord beveiligde PDF-lokmiddeldocumenten, of koppelingen naar cloudgebaseerde platforms voor het delen van bestanden met de beveiligde PDF's daarin. De wachtwoorden voor deze documenten zitten doorgaans in dezelfde phishing-e-mail, of in een e-mail die kort na de eerste wordt verzonden.

Als kleine wegversperringen voor mogelijke menselijke analyse is Star Blizzard begonnen met het gebruik van een domeinnaamservice (DNS)-provider als een reverse proxy – waardoor de IP-adressen die zijn gekoppeld aan zijn virtuele privéservers (VPS’s) worden verdoezeld – en JavaScript-fragmenten op de server die bedoeld zijn om geautomatiseerde scannen van zijn infrastructuur.

Het maakt ook gebruik van een meer gerandomiseerd algoritme voor het genereren van domeinen (DGA), om het detecteren van patronen in zijn domeinen lastiger te maken. Zoals Microsoft echter opmerkt, delen Star Blizzard-domeinen nog steeds bepaalde bepalende kenmerken: ze zijn doorgaans geregistreerd bij Namecheap, in groepen die vaak vergelijkbare naamgevingsconventies gebruiken, en ze beschikken over TLS-certificeringen van Let’s Encrypt.

En naast de kleinere trucjes is Star Blizzard begonnen de e-mailmarketingdiensten Mailerlite en HubSpot te gebruiken om zijn phishing-escapades aan te sturen.

E-mailmarketing gebruiken voor phishing

Zoals Microsoft in zijn blog uitlegde: “de actor gebruikt deze services om een ​​e-mailcampagne te maken, die hen een speciaal subdomein op de service biedt dat vervolgens wordt gebruikt om URL’s te maken. Deze URL's fungeren als toegangspunt tot een omleidingsketen die eindigt op door de actor bestuurd Evilginx-serverinfrastructuur. De diensten kunnen de gebruiker ook voorzien van een speciaal e-mailadres per geconfigureerde e-mailcampagne, waarvan wordt aangenomen dat de bedreigingsacteur dit gebruikt als het ‘Van’-adres in zijn campagnes.”

Soms hebben de hackers een tactiek overgeslagen door in de hoofdtekst van hun met een wachtwoord beveiligde PDF's de e-mailmarketing-URL's in te sluiten die ze gebruiken om door te sturen naar hun kwaadaardige servers. Met deze combinatie is het niet meer nodig om een ​​eigen domeininfrastructuur in de e-mails op te nemen.

“Hun gebruik van cloudgebaseerde platforms zoals HubSpot, MailerLite en virtual private servers (VPS) in combinatie met server-side scripts om geautomatiseerd scannen te voorkomen is een interessante aanpak”, legt dreigingsinformatie-analist Zoey Selman van Recorded Future Insikt Group uit, “omdat het stelt BlueCharlie in staat om parameters in te stellen om het slachtoffer alleen door te sturen naar de infrastructuur van bedreigingsactoren als aan de vereisten is voldaan.”

Onlangs hebben onderzoekers waargenomen dat de groep e-mailmarketingdiensten gebruikte om denktanks en onderzoeksorganisaties te targeten, met behulp van een gemeenschappelijk lokmiddel, met als doel inloggegevens te verkrijgen voor een Amerikaans subsidiebeheerportaal.

De groep heeft ook nog andere recente successen geboekt, merkt Selman op, “met name tegen Britse overheidsfunctionarissen bij het verzamelen van legitimatiebewijzen en hack-and-lek-operaties die worden gebruikt bij beïnvloedingsoperaties, zoals tegen de voormalige Britse MI6-chef Richard Dearlove, de Britse Parlementariër Stewart McDonald, en het is bekend dat hij op zijn minst geprobeerd heeft zich te richten op werknemers van enkele van de meest vooraanstaande nationale nucleaire laboratoria van de VS.”

Tijdstempel:

Meer van Donkere lezing