Loading article…
PLATINUM は、南アジアおよび東南アジアの政府や関連組織に対して活動するサイバー犯罪集団にマイクロソフトが付けた名前です。[1]彼らは秘密主義で、グループのメンバーについてはあまり知られていません。[2]このグループのスキルにより、攻撃は何年もの間検知されないことがあります。[1]
このグループは、高度で持続的な脅威とみなされており、少なくとも2009年から活動しており、[3]政府関係者の個人メールアドレスに対するスピアフィッシング攻撃、ゼロデイ攻撃、ホットパッチの脆弱性を利用して被害者を狙っています。 [4] [5]被害者のコンピュータにアクセスすると、このグループは経済的に機密性の高い情報を盗みます。[1]
プラチナムは、2016年4月にマイクロソフトのWindowsホットパッチシステムの悪用が発覚し公表されるまで、目立たないようにすることに成功しました。 [2]このホットパッチ方式により、システム全体を再起動することなく、マイクロソフト独自の機能を使用して、迅速にパッチを適用したり、ファイルを変更したり、アプリケーションを更新したりすることができます。こうすることで、身元を隠しながら盗んだデータを保持することができます。[2]
2017年6月、PLATINUMはIntelのActive Management TechnologyのSOL（Serial over LAN）機能を悪用してデータの窃取を実行したことで注目を集めました。[6] [7] [8] [9] [10] [11] [12] [13]
プラチナの技術
PLATINUMはウェブプラグインを悪用することが知られており、2009年には電子メールサービスを提供するウェブサイトを利用してインド政府関係者数名のコンピュータに侵入したことがある。[説明が必要] [1]
ターゲットのコンピュータを掌握すると、プラチナムの攻撃者は特別に構築されたマルウェアモジュールを使用してターゲットのネットワークを移動することができます。これらのモジュールは、プラチナムグループ傘下で活動する複数のチームのいずれかによって作成されたか、プラチナムが2009年以来取引している多数の外部ソースを通じて販売された可能性があります。[1]
このマルウェアは多様性に富んでおり、バージョン間で共通するコードがほとんどないため、マイクロソフトの調査員はマルウェアをファミリーに分類しました。[1]
PLATINUM で最も広く使用されたマルウェアは、Microsoft によって Dispind というニックネームが付けられました。[1]このマルウェアは、キー入力を記録する (場合によっては挿入もできる) ソフトウェアであるキーロガーをインストールできます。 [要出典]
PLATINUMは、コンピュータの%appdata%フォルダにインストールされ、情報を取得したり、キーロガーをロードしたり、ファイルやアップデートをダウンロードしたり、機密情報が含まれる可能性のあるファイルを抽出するなどのタスクを実行したりする「JPIN」などの他のマルウェアも使用します。[1]
「Adbupd」は、PLATINUM が利用する別のマルウェア プログラムであり、前述の 2 つに似ています。プラグインをサポートすることで知られており、特殊化が可能で、さまざまな保護メカニズムに適応できるほど汎用性があります。[1]
インテルエクスプロイト
2017年、マイクロソフトは、PLATINUMがIntel CPUの機能を悪用し始めたと報告した。[14]問題の機能はIntelのAMT Serial-over-LAN (SOL)であり、これによりユーザーは、ファイアウォールやホストオペレーティングシステム内の監視ツールなど、ターゲットのホストオペレーティングシステムをバイパスして、別のコンピューターをリモートで制御することができる。[14]
安全
マイクロソフトは、脆弱性を最小限に抑え、機密性の高いデータを大規模ネットワークから遠ざけるために、すべてのセキュリティ更新プログラムを適用するようユーザーに推奨しています。[1] PLATINUMは企業や政府機関を標的に企業秘密を入手しているため、そのような組織で働いている人やそのような組織と協力している人は誰でもこのグループの標的になる可能性があります。[15]
参照
参考文献
- ^ abcdefghij 「PLATINUM 南アジアおよび東南アジアにおける標的型攻撃 (PDF)」(PDF)。Windows Defender Advanced Threat Hunting チーム (Microsoft)。2016 年。2017 年 6 月 10 日閲覧。
- ^ abc Osborne, Charlie. 「プラチナハッキンググループ、活動的なキャンペーンでWindowsパッチ適用システムを悪用」ZDNet . 2017年6月9日閲覧。
- ^ Eduard Kovacs (2017-06-08). 「「プラチナ」サイバースパイがIntel AMTを悪用して検出を回避」SecurityWeek.Com . 2017年6月10日閲覧。
- ^ Eduard Kovacs (2016-04-27). 「「プラチナ」サイバースパイがアジアの攻撃でホットパッチを悪用」SecurityWeek.Com . 2017-06-10閲覧。
- ^ msft-mmpc (2016-04-26). 「PLATINUM の徹底調査 - Windows セキュリティ」。Blogs.technet.microsoft.com。2017年 6 月 10 日閲覧。
- ^ Peter Bright (2017-06-09). 「卑劣なハッカーがIntelの管理ツールを使用してWindowsファイアウォールを回避」 Ars Technica . 2017-06-10閲覧。
- ^ Tung, Liam (2014-07-22). 「Microsoft によると、Intel AMT を使用した「ホットパッチ」スパイが Windows ファイアウォールを回避」 ZDNet . 2017-06-10閲覧。
- ^ msft-mmpc (2017-06-07). 「PLATINUM は進化を続け、不可視性を維持する方法を見つける – Windows セキュリティ」。Blogs.technet.microsoft.com。2017年 6 月 10 日閲覧。
- ^ Catalin Cimpanu (2017-06-08). 「マルウェアが Intel CPU の目立たない機能を利用してデータを盗み、ファイアウォールを回避する」 Bleepingcomputer.com . 2017-06-10閲覧。
- ^ Juha Saarinen (2017-06-08). 「ハッカーが低レベルの管理機能を悪用し、目に見えないバックドアを作る - セキュリティ」 iTnews . 2017-06-10閲覧。
- ^ Richard Chirgwin ( 2017-06-08 ). 「Vxers が Intel の Active Management を悪用して LAN 経由のマルウェアを拡散。アジアで Platinum 攻撃が発生、管理者の資格情報が必要」The Register。2017-06-10閲覧。
- ^ クリストフ・ウィンデック (2017-06-09)。 「Intel-Fernwartung AMT bei Angriffen auf PCs genutzt | heise Security」。 Heise.de 。2017年6月10日に取得。
- ^ 「Intel AMT SOL を使用した PLATINUM アクティビティ グループのファイル転送方法 | Windows セキュリティ ブログ | Channel 9」。Channel9.msdn.com。2017 年 6 月 7 日。2017年 6 月 10 日閲覧。
- ^ ab 「プラチナハッカーグループがIntel AMTを使用」、Tad Group、2017-09-25
- ^ Liu, Jianhong (2017-07-15). アジアの比較犯罪学. Springer. ISBN 9783319549422。