Star Blizzard Threat Actor: A Persistent Cyber Spionage Force

En annen taktikk i en pågående cyberkampanje

Ettersom cybertrussellandskapet fortsetter å utvikle seg, og et navn som ofte dukker opp i diskusjoner om spionasjedrevet cyberaktivitet er Star Blizzard. Denne trusselaktøren, som antas å være knyttet til russiske operasjoner, har historisk fokusert på innhenting av legitimasjon. Nylig har det imidlertid vært et skifte i metodene, med en annen kampanje rettet mot WhatsApp-kontoer gjennom sofistikerte spyd-phishing-teknikker. Denne tilpasningen antyder et forsøk på å unngå oppdagelse og opprettholde tilgang til sensitiv informasjon.

Målene bak Star Blizzards operasjoner

Star Blizzard, tidligere kjent av flere aliaser som SEABORGIUM og BlueCharlie, har vært aktiv i over et tiår. Dens primære mål er enkeltpersoner og organisasjoner som er engasjert i regjering, diplomati, forsvarspolitikk og internasjonale relasjoner, spesielt de som fokuserer på russiske anliggender og Ukraina-relatert bistandsinnsats. Forskere, journalister og frivillige organisasjoner har også vært blant dem som er berørt av virksomheten.

Denne gruppens endelige mål er å infiltrere kommunikasjon, trekke ut sensitive data og få strategisk etterretning. Ved å kompromittere legitimasjon og avskjære samtaler, har Star Blizzard som mål å opprettholde vedvarende tilgang til sine mål, noe som muliggjør ytterligere datainnsamling og potensielle påvirkningsoperasjoner.

Hvordan trusselskuespilleren fungerer

Star Blizzards tidligere kampanjer dreide seg i stor grad om spyd-phishing-e-poster designet for å lure mottakere til å avsløre påloggingsinformasjon. Vanligvis vil disse e-postene komme fra kontoer registrert på sikre e-posttjenester som ProtonMail. Meldingene vil inneholde lenker som fører til villedende sider bygget ved hjelp av motstander-i-midten (AiTM) taktikk, slik at angripere kan avskjære innloggingsdetaljer og tofaktorautentiseringskoder (2FA).

I tidligere angrep har Star Blizzard også utnyttet legitime e-postmarkedsføringstjenester som HubSpot og MailerLite for å maskere avsenderens identiteter og omgå sikkerhetsfiltre. Denne tilnærmingen gjorde det mulig for dem å levere villedende meldinger uten å stole på domener som er direkte knyttet til operasjonen.

En stor forstyrrelse av denne innsatsen kom da Microsoft og det amerikanske justisdepartementet tok grep for å beslaglegge over 180 domener knyttet til trusselaktøren. Disse domenene hadde blitt brukt til å lette angrep mot høyprofilerte mål fra januar 2023 til august 2024. Denne forstyrrelsen markerte imidlertid ikke slutten på Star Blizzards aktiviteter; i stedet fikk det gruppen til å avgrense taktikken.

Skiftet til WhatsApp-utnyttelse

På slutten av 2024 indikerte rapporter at Star Blizzard hadde utvidet sine teknikker til å inkludere WhatsApp-kontokapring. Dette markerte en betydelig avvik fra de tidligere metodene og understreket gruppens tilpasningsevne.

Kampanjen begynte med phishing-e-poster som ble utgitt som kommunikasjon fra amerikanske myndighetspersoner. Disse e-postene inneholdt QR-koder som hevdet å invitere mottakere til en WhatsApp-gruppe dedikert til å støtte humanitære initiativer. QR-kodene ble med vilje ødelagt, noe som fikk mottakerne til å svare på e-posten for å få hjelp.

Når mottakeren svarte, mottok de en sekundær melding som ledet dem til en forkortet lenke. Ved å klikke på denne koblingen førte de til en nettside som viste en QR-kode designet for å koble WhatsApp-kontoer til flere enheter. Ved å skanne denne koden ga ofrene uvitende Star Blizzard uautorisert tilgang til WhatsApp-kontoene deres, noe som potensielt avslørte private samtaler og sensitiv informasjon.

Implikasjonene av Star Blizzards aktiviteter

Den utviklende taktikken til Star Blizzard fremhever den vedvarende trusselen fra cyberspionasjegrupper. Målrettingen av regjeringen og diplomatiske enheter indikerer en pågående innsats for å samle etterretning som kan utnyttes til geopolitiske formål. I tillegg vekker bruken av WhatsApp som angrepsvektor bekymring for sikkerheten til kommunikasjonsplattformer som er mye brukt av fagfolk og organisasjoner.

Selv om denne kampanjen så ut til å avsluttes innen utgangen av november 2024, viser endringen i strategien gruppens tilpasningsevne. Evnen til å svinge til nye metoder når eksisterende operasjoner blir forstyrret, sikrer at Star Blizzard forblir en formidabel cybertrussel.

Styrke forsvar mot målrettede angrep

De som opererer i sektorer som ofte er målrettet av Star Blizzard, anbefales å være årvåkne. Å gjenkjenne kjennetegnene til spyd-phishing-e-poster, bekrefte uventet kommunikasjon og unngå interaksjoner med uønskede QR-koder eller forkortede lenker kan bidra til å redusere eksponeringen for slike trusler.

Sikkerhetseksperter anbefaler også å aktivere flerlagsautentisering der det er mulig, spesielt for kontoer som håndterer sensitiv kommunikasjon. Ettersom trusselaktører foredler teknikkene sine, er proaktive tiltak fortsatt avgjørende for å beskytte digitale eiendeler og kommunikasjon mot uautorisert tilgang.

Siste tanker

Star Blizzards pågående aktiviteter minner oss om cybertruslenes utvikling. Gruppens evne til å skifte taktikk som svar på forstyrrelser understreker viktigheten av kontinuerlig årvåkenhet og adaptive sikkerhetsstrategier. Mens rettshåndhevelse og nettsikkerhetsfirmaer jobber for å dempe slike trusler, må organisasjoner og enkeltpersoner forbli proaktive i å identifisere og motvirke sofistikerte nettspionasjekampanjer.