Qué es

CosmicPulse es un backdoor de endpoint desplegado por el grupo APT Star Blizzard. Se reporta desde 2024 como parte de la expansión operativa del actor hacia malware en el sistema. Su función principal es mantener acceso persistente en los equipos comprometidos. La evidencia lo asocia directamente con las actividades de robo de credenciales del grupo.

Cómo llega

Se despliega tras campañas de phishing sofisticadas, suplantación de identidad y construcción de relaciones. La evidencia indica que el actor lo utiliza para mantener acceso persistente y realizar operaciones de robo de credenciales. No se especifican vectores de entrega únicos para esta herramienta, sino que forma parte de la expansión operativa del grupo hacia malware en el sistema desde 2024.

Qué hace una vez dentro

Mantiene acceso persistente en el endpoint comprometido. Facilita la ejecución de operaciones de robo de credenciales. Se despliega tras campañas de phishing sofisticadas para asegurar el control continuo del sistema. Permite al actor realizar actividades de hack-and-leak sobre la infraestructura afectada.

A quién ataca

Apunta a funcionarios gubernamentales, personal de defensa, think tanks, ONG y academia. Las regiones principales son Reino Unido, Estados Unidos, Ucrania y países de la OTAN. El grupo realiza operaciones de robo de credenciales y filtración de datos contra estas entidades específicas.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.

Grupos que la usan

Star Blizzard

Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: Adversary Unmasked APT Profile - Star Blizzard