PLATINUM — группа киберпреступников, действующих против правительств и связанных с ними организаций в Южной и Юго-Восточной Азии. Название группе дала Microsoft. Преступники действуют скрытно, уровень их навыков высок, так что информации о членах группы немного, а некоторые атаки остаются незамеченными в течение многих лет.
Группа, считающаяся постоянной серьёзной угрозой, действует как минимум с 2009 года, атакуя жертв с помощью целевых фишинговых атак на личные электронные адреса государственных чиновников, уязвимостей нулевого дня и уязвимостей, использующих «горячие» обновления (без перезагрузки системы или остановки сервисов). Получив доступ к компьютерам своих жертв, группа крадет экономически важную информацию.
PLATINUM удалось оставаться незаметными до тех пор, пока в апреле 2016 года не было обнаружено и публично сообщено о злоупотреблении системой «горячего» обновления Microsoft Windows. В июне 2017 года PLATINUM стала известна благодаря использованию возможностей технологии активного управления Intel (SOL) для осуществления утечки данных.
Методы PLATINUM Известно, что PLATINUM использует веб-плагины. В 2009 году они проникли на компьютеры нескольких индийских правительственных чиновников, используя веб-сайт, предоставляющий услуги электронной почты.
Получив контроль над компьютером цели, злоумышленники из группы PLATINUM могут перемещаться по сети цели, используя специально разработанные модули вредоносного ПО. Эти модули либо написаны одной из команд, работающих под эгидой группы, либо через различные сторонние источники, с которыми PLATINUM сотрудничает с 2009 года.
Из-за разнообразия вредоносного ПО, версии которого имеют мало общего в коде, исследователи Microsoft классифицировали его по семействам.
Наиболее широко используемая вредоносная программа PLATINUM получила от Microsoft название Dispind.
Группа также использует другие вредоносные программы, такие как "JPIN", которые устанавливаются в папку %appdata% компьютера, чтобы получать информацию, загружать кейлоггер, скачивать файлы и обновления, а также выполнять другие задачи, например, извлекать файлы, которые могут содержать конфиденциальную информацию.
«Adbupd» — ещё одна вредоносная программа, используемая PLATINUM, и она похожа на две упомянутые ранее. Adbupd поддерживает плагины, поэтому её можно кастомизировать, что делает программу достаточно универсальной для адаптации к различным механизмам защиты.
Эксплойт Intel В 2017 году Microsoft сообщила, что PLATINUM начала использовать одну из функций процессоров Intel. Речь идёт о функции Intel AMT Serial-over-LAN (SOL), которая позволяет пользователю удалённо управлять другим компьютером, обходя операционную систему целевого компьютера, включая брандмауэры и инструменты мониторинга в операционной системе компьютера.
См. также Titanium (вредоносное ПО)
Примечания
Категория:Киберпреступность Категория:APT