Star Blizzard Threat Actor: een aanhoudende cyber-spionagemacht

Een andere tactiek in een voortdurende cybercampagne

Terwijl het cyberdreigingslandschap zich blijft ontwikkelen, en een naam die vaak opduikt in discussies over spionagegedreven cyberactiviteiten is Star Blizzard. Deze dreigingsactor, waarvan wordt aangenomen dat hij verband houdt met Russische operaties, heeft zich historisch gezien gericht op het verzamelen van inloggegevens. Onlangs is er echter een verschuiving in zijn methoden geweest, met een andere campagne die WhatsApp-accounts target via geavanceerde spear-phishingtechnieken. Deze aanpassing suggereert een poging om detectie te voorkomen en toegang tot gevoelige informatie te behouden.

De doelstellingen achter de activiteiten van Star Blizzard

Star Blizzard, voorheen bekend onder meerdere aliassen zoals SEABORGIUM en BlueCharlie, is al meer dan tien jaar actief. De primaire doelen zijn personen en organisaties die zich bezighouden met overheid, diplomatie, defensiebeleid en internationale betrekkingen, met name die welke zich richten op Russische zaken en Oekraïne-gerelateerde hulpinspanningen. Onderzoekers, journalisten en NGO's behoren ook tot degenen die door de activiteiten worden getroffen.

Het ultieme doel van deze groep is om communicatie te infiltreren, gevoelige data te extraheren en strategische intelligentie te verkrijgen. Door inloggegevens te compromitteren en gesprekken te onderscheppen, wil Star Blizzard permanente toegang tot zijn doelen behouden, wat verdere dataverzameling en mogelijke beïnvloedingsoperaties mogelijk maakt.

Hoe de dreigingsactor opereert

De eerdere campagnes van Star Blizzard draaiden grotendeels om spear-phishing-e-mails die waren ontworpen om ontvangers te misleiden om inloggegevens te onthullen. Meestal kwamen deze e-mails van accounts die waren geregistreerd op beveiligde e-mailservices zoals ProtonMail. De berichten bevatten links die leidden naar misleidende pagina's die waren gebouwd met behulp van adversary-in-the-middle (AiTM)-tactieken, waardoor aanvallers inloggegevens en two-factor authentication (2FA)-codes konden onderscheppen.

Bij eerdere aanvallen maakte Star Blizzard ook gebruik van legitieme e-mailmarketingdiensten zoals HubSpot en MailerLite om de identiteit van afzenders te maskeren en beveiligingsfilters te omzeilen. Deze aanpak stelde hen in staat om misleidende berichten te leveren zonder afhankelijk te zijn van domeinen die rechtstreeks aan de operatie waren gekoppeld.

Een grote verstoring van deze inspanningen kwam toen Microsoft en het Amerikaanse ministerie van Justitie actie ondernamen om meer dan 180 domeinen in beslag te nemen die verband hielden met de dreigingsactor. Deze domeinen waren gebruikt om aanvallen op belangrijke doelen te vergemakkelijken van januari 2023 tot augustus 2024. Deze verstoring markeerde echter niet het einde van de activiteiten van Star Blizzard; in plaats daarvan zette het de groep ertoe aan om zijn tactieken te verfijnen.

De verschuiving naar WhatsApp-exploitatie

Eind 2024 gaven rapporten aan dat Star Blizzard zijn technieken had uitgebreid met het kapen van WhatsApp-accounts. Dit markeerde een significante afwijking van zijn eerdere methoden en onderstreepte de aanpassingsvermogen van de groep.

De campagne begon met phishing-e-mails die zich voordeden als communicatie van Amerikaanse overheidsfunctionarissen. Deze e-mails bevatten QR-codes die beweerden ontvangers uit te nodigen voor een WhatsApp-groep die zich toelegde op het ondersteunen van humanitaire initiatieven. De QR-codes werden opzettelijk gekraakt, waardoor de ontvangers op de e-mail reageerden voor hulp.

Nadat de ontvanger had geantwoord, ontvingen ze een secundair bericht dat hen naar een verkorte link leidde. Door op deze link te klikken, kwamen ze op een webpagina terecht met een QR-code die was ontworpen om WhatsApp-accounts te verbinden met extra apparaten. Door deze code te scannen, gaven slachtoffers Star Blizzard onbewust ongeautoriseerde toegang tot hun WhatsApp-accounts, waardoor mogelijk privégesprekken en gevoelige informatie werden blootgesteld.

De implicaties van de activiteiten van Star Blizzard

De evoluerende tactieken van Star Blizzard benadrukken de aanhoudende dreiging die cyberespionagegroepen vormen. Het targeten van overheids- en diplomatieke entiteiten duidt op een voortdurende inspanning om inlichtingen te verzamelen die voor geopolitieke doeleinden kunnen worden gebruikt. Bovendien roept het gebruik van WhatsApp als aanvalsvector zorgen op over de veiligheid van communicatieplatforms die veel worden gebruikt door professionals en organisaties.

Hoewel deze specifieke campagne eind november 2024 leek te eindigen, toont de verschuiving in strategie de aanpassingsvermogen van de groep. Het vermogen om over te schakelen naar nieuwe methoden wanneer bestaande operaties worden verstoord, zorgt ervoor dat Star Blizzard een formidabele cyberdreiging blijft.

Versterking van de verdediging tegen gerichte aanvallen

Degenen die actief zijn in sectoren die vaak het doelwit zijn van Star Blizzard, wordt geadviseerd waakzaam te blijven. Het herkennen van de kenmerken van spear-phishing-e-mails, het verifiëren van onverwachte communicatie en het vermijden van interacties met ongevraagde QR-codes of verkorte links kan helpen de blootstelling aan dergelijke bedreigingen te verminderen.

Beveiligingsprofessionals raden ook aan om waar mogelijk meerlaagse authenticatie in te schakelen, met name voor accounts die gevoelige communicatie verwerken. Naarmate dreigingsactoren hun technieken verfijnen, blijven proactieve maatregelen essentieel om digitale activa en communicatie te beschermen tegen ongeautoriseerde toegang.

Laatste gedachten

De voortdurende activiteiten van Star Blizzard herinneren ons aan de veranderende aard van cyberdreigingen. Het vermogen van de groep om tactieken te veranderen als reactie op verstoringen benadrukt het belang van voortdurende waakzaamheid en adaptieve beveiligingsstrategieën. Terwijl wetshandhavings- en cybersecuritybedrijven werken aan het beperken van dergelijke bedreigingen, moeten organisaties en individuen proactief blijven in het identificeren en tegengaan van geavanceerde cyberespionagecampagnes.