ПЛАТИНА (киберпреступная группа)
PLATINUM — это название, данное Microsoft коллективу киберпреступников , действующему против правительств и связанных с ними организаций в Южной и Юго-Восточной Азии . [1] Они скрытны и о членах группы известно немного. [2] Мастерство группы означает, что ее атаки иногда остаются незамеченными в течение многих лет. [1]
Группа, считающаяся серьезной постоянной угрозой , действует как минимум с 2009 года. [3] нацеленность на жертв с помощью целевых фишинговых атак на частные адреса электронной почты государственных чиновников, эксплойтов нулевого дня и горячих исправлений уязвимостей. [4] [5] Получив доступ к компьютерам своих жертв, группа крадет экономически важную информацию. [1]
PLATINUM удавалось сохранять сдержанность до тех пор, пока злоупотребление системой горячего исправления Microsoft Windows не было обнаружено и публично не сообщено в апреле 2016 года. [2] Этот метод горячего исправления позволяет им использовать собственные функции Microsoft для быстрого исправления, изменения файлов или обновления приложения без полной перезагрузки системы. Таким образом, они могут сохранить украденные данные, маскируя при этом свою личность. [2]
В июне 2017 года PLATINUM стал известен тем, что использовал возможности последовательной передачи данных по локальной сети (SOL) технологии Intel Active Management для кражи данных. [6] [7] [8] [9] [10] [11] [12] [13]
Техники PLATINUM
[ редактировать ]Известно, что PLATINUM использовал веб- плагины , однажды проникнув в компьютеры нескольких индийских правительственных чиновников в 2009 году, используя веб-сайт, предоставляющий службу электронной почты. [ нужны разъяснения ] [1]
Получив контроль над компьютером цели, злоумышленники PLATINUM могут перемещаться по сети цели, используя специально созданные вредоносные модули. Они либо были написаны одной из многочисленных команд, работающих под эгидой группы Platinum, либо могли быть проданы через любое количество внешних источников, с которыми Platinum имеет дело с 2009 года. [1]
Из-за разнообразия этого вредоносного ПО, версии которого имеют мало общего в коде, следователи Microsoft разделили его на семейства. [1]
Вредоносная программа, наиболее широко используемая PLATINUM, получила от Microsoft прозвище Dispind. [1] Эта вредоносная программа может установить кейлоггер — программу, которая записывает (а также может внедрять) нажатия клавиш. [ нужна ссылка ]
PLATINUM также использует другие вредоносные программы, такие как «JPIN», которые устанавливаются в папку %appdata% компьютера, чтобы получать информацию, загружать кейлоггер, загружать файлы и обновления, а также выполнять другие задачи, такие как извлечение файлов, которые могут содержать конфиденциальную информацию. [1]
«Adbupd» — еще одна вредоносная программа, используемая PLATINUM, похожая на две ранее упомянутые. Он известен своей способностью поддерживать плагины, поэтому его можно специализировать, что делает его достаточно универсальным для адаптации к различным механизмам защиты. [1]
Intel Эксплойт
[ редактировать ]В 2017 году Microsoft сообщила, что PLATINUM начала использовать особенность процессоров Intel . [14] Речь идет о функции Intel AMT Serial-over-LAN (SOL), которая позволяет пользователю удаленно управлять другим компьютером, минуя хостовую операционную систему цели, включая брандмауэры и инструменты мониторинга внутри хостовой операционной системы. [14]
Безопасность
[ редактировать ]Microsoft советует пользователям применять все обновления безопасности, чтобы минимизировать уязвимости и не допускать попадания высококонфиденциальных данных в большие сети. [1] Поскольку PLATINUM нацелен на организации, компании и государственные учреждения с целью получения коммерческой тайны, любой, кто работает в таких организациях или с ними, может стать мишенью для группы. [15]
См. также
[ редактировать ]Ссылки
[ редактировать ]- ^ Jump up to: а б с д и ж г час я дж «ПЛАТИНА» Целевые атаки в Южной и Юго-Восточной Азии (PDF)» (PDF) . Группа расширенного поиска угроз в Защитнике Windows (Microsoft). 2016 . Проверено 10 июня 2017 г.
- ^ Jump up to: а б с Осборн, Чарли. «Хакерская группа Platinum злоупотребляет системой исправлений Windows в активных кампаниях» . ЗДНет . Проверено 9 июня 2017 г.
- ^ Эдуард Ковач (08.06.2017). « Платиновые» кибершпионы злоупотребляют Intel AMT, чтобы избежать обнаружения» . SecurityWeek.Com . Проверено 10 июня 2017 г.
- ^ Эдуард Ковач (27 апреля 2016 г.). « Платиновые» кибершпионы злоупотребляют горячими исправлениями во время атак в Азии» . SecurityWeek.Com . Проверено 10 июня 2017 г.
- ^ мсфт-ммпк (26 апреля 2016 г.). «Глубокий поиск PLATINUM — безопасность Windows» . Блоги.technet.microsoft.com . Проверено 10 июня 2017 г.
- ^ Питер Брайт (9 июня 2017 г.). «Коварные хакеры используют инструменты управления Intel для обхода брандмауэра Windows» . Арс Техника . Проверено 10 июня 2017 г.
- ^ Тунг, Лиам (22 июля 2014 г.). «Брандмауэр Windows обошелся шпионами, использующими Intel AMT», — говорит Microsoft . ЗДНет . Проверено 10 июня 2017 г.
- ^ мсфт-ммпк (07.06.2017). «PLATINUM продолжает развиваться, находить способы сохранять невидимость – безопасность Windows» . Блоги.technet.microsoft.com . Проверено 10 июня 2017 г.
- ^ Каталин Чимпану (08.06.2017). «Вредоносное ПО использует непонятную функцию процессора Intel для кражи данных и обхода брандмауэров» . Bleepingcomputer.com . Проверено 10 июня 2017 г.
- ^ Юха Сааринен (08.06.2017). «Хакеры злоупотребляют функцией низкоуровневого управления для невидимого бэкдора — Безопасность» . АйТньюс . Проверено 10 июня 2017 г.
- ^ Ричард Чиргвин (08 июня 2017 г.). «Пользователи Vx используют Intel Active Management для распространения вредоносных программ через локальную сеть. Платиновая атака, обнаруженная в Азии, требует учетных данных администратора» . Регистр . Проверено 10 июня 2017 г.
- ^ Кристоф Виндек (9 июня 2017 г.). «Удаленное обслуживание Intel AMT, используемое при атаках на ПК | Heise Security» . Heise.de . Проверено 10 июня 2017 г.
- ^ «Метод передачи файлов группы действий PLATINUM с использованием Intel AMT SOL | Блог по безопасности Windows | Канал 9» . Channel9.msdn.com. 07.06.2017 . Проверено 10 июня 2017 г.
- ^ Jump up to: а б «Хакерская группа Platinum использует Intel AMT» , Tad Group , 25 сентября 2017 г.
- ^ Лю, Цзяньхун (15 июля 2017 г.). Сравнительная криминология в Азии . Спрингер. ISBN 9783319549422 .