Bedrohungsakteur Star Blizzard: Eine hartnäckige Cyber-Spionagetruppe

Eine weitere Taktik in einer laufenden Cyber-Kampagne

Während sich die Cyberbedrohungslandschaft ständig weiterentwickelt, taucht in Diskussionen über Cyberaktivitäten, die auf Spionage basieren, häufig ein Name auf: Star Blizzard. Dieser Bedrohungsakteur, der vermutlich mit russischen Operationen in Verbindung steht, hat sich in der Vergangenheit auf das Sammeln von Anmeldeinformationen konzentriert. In jüngster Zeit hat sich seine Vorgehensweise jedoch geändert: Eine weitere Kampagne zielte mithilfe ausgefeilter Spear-Phishing-Techniken auf WhatsApp-Konten ab. Diese Anpassung deutet auf einen Versuch hin, der Entdeckung zu entgehen und den Zugriff auf vertrauliche Informationen aufrechtzuerhalten.

Die Ziele hinter den Operationen von Star Blizzard

Star Blizzard, zuvor unter verschiedenen Decknamen wie SEABORGIUM und BlueCharlie bekannt, ist seit über einem Jahrzehnt aktiv. Seine Hauptziele sind Einzelpersonen und Organisationen, die in den Bereichen Regierung, Diplomatie, Verteidigungspolitik und internationale Beziehungen tätig sind, insbesondere solche, die sich mit russischen Angelegenheiten und Hilfsmaßnahmen im Zusammenhang mit der Ukraine befassen. Auch Forscher, Journalisten und NGOs sind von seinen Aktivitäten betroffen.

Das ultimative Ziel dieser Gruppe ist es, in die Kommunikation einzudringen, vertrauliche Daten zu extrahieren und strategische Informationen zu gewinnen. Durch die Kompromittierung von Anmeldeinformationen und das Abfangen von Gesprächen versucht Star Blizzard, dauerhaften Zugriff auf seine Ziele zu erhalten, um weitere Datensammlungen und potenzielle Einflussoperationen zu ermöglichen.

So operiert der Bedrohungsakteur

Bei den früheren Kampagnen von Star Blizzard ging es größtenteils um Spear-Phishing-E-Mails, die darauf abzielten, die Empfänger dazu zu bringen, ihre Anmeldedaten preiszugeben. Normalerweise kamen diese E-Mails von Konten, die bei sicheren E-Mail-Diensten wie ProtonMail registriert waren. Die Nachrichten enthielten Links zu irreführenden Seiten, die mithilfe von Adversary-in-the-Middle-Taktiken (AiTM) erstellt wurden, sodass Angreifer Anmeldedaten und Zwei-Faktor-Authentifizierungscodes (2FA) abfangen konnten.

Bei früheren Angriffen nutzte Star Blizzard auch legitime E-Mail-Marketingdienste wie HubSpot und MailerLite, um die Identität der Absender zu maskieren und Sicherheitsfilter zu umgehen. Mit diesem Ansatz konnten sie betrügerische Nachrichten versenden, ohne auf direkt mit der Operation verbundene Domänen angewiesen zu sein.

Diese Bemühungen wurden erheblich gestört, als Microsoft und das US-Justizministerium über 180 mit dem Bedrohungsakteur in Verbindung stehende Domänen beschlagnahmten. Diese Domänen wurden von Januar 2023 bis August 2024 für Angriffe auf hochkarätige Ziele genutzt. Diese Störung bedeutete jedoch nicht das Ende der Aktivitäten von Star Blizzard; vielmehr veranlasste sie die Gruppe dazu, ihre Taktik zu verfeinern.

Die Umstellung auf WhatsApp-Ausnutzung

Ende 2024 deuteten Berichte darauf hin, dass Star Blizzard seine Techniken um das Hijacking von WhatsApp-Konten erweitert hatte. Dies stellte eine deutliche Abkehr von den bisherigen Methoden dar und unterstrich die Anpassungsfähigkeit der Gruppe.

Die Kampagne begann mit Phishing-E-Mails, die sich als Mitteilungen von US-Regierungsbeamten ausgaben. Diese E-Mails enthielten QR-Codes, die angeblich die Empfänger zu einer WhatsApp-Gruppe einluden, die sich der Unterstützung humanitärer Initiativen widmete. Die QR-Codes wurden absichtlich geknackt, um die Empfänger dazu zu bewegen, auf die E-Mail zu antworten und um Hilfe zu bitten.

Nachdem der Empfänger geantwortet hatte, erhielt er eine zweite Nachricht, die ihn zu einem verkürzten Link weiterleitete. Durch Klicken auf diesen Link gelangte er zu einer Webseite, auf der ein QR-Code angezeigt wurde, mit dem WhatsApp-Konten mit zusätzlichen Geräten verbunden werden konnten. Durch das Scannen dieses Codes gewährten die Opfer Star Blizzard unwissentlich unbefugten Zugriff auf ihre WhatsApp-Konten und konnten so private Gespräche und vertrauliche Informationen offenlegen.

Die Auswirkungen der Aktivitäten von Star Blizzard

Die sich entwickelnden Taktiken von Star Blizzard unterstreichen die anhaltende Bedrohung durch Cyber-Spionagegruppen. Die gezielten Angriffe auf Regierungs- und diplomatische Einrichtungen deuten auf laufende Bemühungen hin, Informationen zu sammeln, die für geopolitische Zwecke genutzt werden könnten. Darüber hinaus wirft die Verwendung von WhatsApp als Angriffsvektor Bedenken hinsichtlich der Sicherheit von Kommunikationsplattformen auf, die von Fachleuten und Organisationen häufig verwendet werden.

Obwohl diese spezielle Kampagne Ende November 2024 abgeschlossen zu sein schien, zeigt der Strategiewechsel die Anpassungsfähigkeit der Gruppe. Die Fähigkeit, bei Störungen bestehender Operationen auf neue Methoden umzusteigen, stellt sicher, dass Star Blizzard weiterhin eine gewaltige Cyberbedrohung darstellt.

Stärkung der Abwehr gezielter Angriffe

Wer in Sektoren tätig ist, die häufig von Star Blizzard angegriffen werden, sollte wachsam bleiben. Das Erkennen der Kennzeichen von Spear-Phishing-E-Mails, die Überprüfung unerwarteter Nachrichten und die Vermeidung von Interaktionen mit unerwünschten QR-Codes oder verkürzten Links können dazu beitragen, das Risiko solcher Bedrohungen zu verringern.

Sicherheitsexperten empfehlen außerdem, wenn möglich eine mehrschichtige Authentifizierung zu aktivieren, insbesondere für Konten, die vertrauliche Kommunikation verarbeiten. Da Bedrohungsakteure ihre Techniken verfeinern, bleiben proaktive Maßnahmen zum Schutz digitaler Assets und Kommunikation vor unbefugtem Zugriff unerlässlich.

Abschließende Gedanken

Die anhaltenden Aktivitäten von Star Blizzard erinnern uns an die sich entwickelnde Natur von Cyberbedrohungen. Die Fähigkeit der Gruppe, ihre Taktik als Reaktion auf Störungen zu ändern, unterstreicht die Bedeutung kontinuierlicher Wachsamkeit und adaptiver Sicherheitsstrategien. Während Strafverfolgungsbehörden und Cybersicherheitsfirmen daran arbeiten, solche Bedrohungen einzudämmen, müssen Organisationen und Einzelpersonen proaktiv bleiben, um ausgeklügelte Cyberspionagekampagnen zu identifizieren und zu bekämpfen.