PLATINUM（プラチナム）は、マイクロソフトが呼称する、南アジア、東南アジアの政府とその関連組織に対して活動するサイバー犯罪グループの名称である。グループは秘密主義であり、そのメンバーについてはあまり知られていない。このグループの技術力は、その攻撃は何年もの間検知されない状態である。

このグループは高度で持続的な脅威と見なされ、少なくとも2009年から活動し、政府関係者の個人メールアドレスに対するスピアフィッシング攻撃、ゼロデイ攻撃エクスプロイト、ホットパッチの脆弱性を突いて標的を攻撃する。グループは被害者のコンピュータにアクセスすると、経済的に機密性の高い情報を盗む。

PLATINUMは、Microsoft Windowsのホットパッチシステムの悪用が2016年4月に検出され公表されるまで、隠匿することに成功した。このホットパッチ方式により、攻撃者はマイクロソフト独自の機能を使用して、システム全体を再起動せずに、迅速にパッチを適用したり、ファイルの変更やアプリケーションの更新ができ、こうして身元を隠しながら盗んだデータを保持することができた。

2017年6月、PLATINUMはインテルのアクティブ・マネジメント・テクノロジーのシリアルオーバーLAN(SOL)機能を悪用してデータの窃取を実行したことで注目された。

プラチナムの技術 PLATINUMはプラグインを悪用することが知られ、2009年にはメールサービスを提供するウェブサイトを介して、数名のインド政府関係者のコンピューターに侵入したこともあった。

ターゲットのコンピュータを制御できるようになると、PLATINUMは、特別に構築したマルウェアモジュールで、ターゲットのネットワークを移動する。これらモジュールは、グループ傘下で活動する複数のチームのいずれかによって作成されたか、または2009年以来取引している多数の外部ソースを通じて販売されている可能性がある。

このマルウェアは多様であり、バージョン間での共通コードがほぼ無いため、マイクロソフトの調査員はマルウェアをファミリーに分類した。

PLATINUMで最も広く使用されたマルウェアは、マイクロソフトによってDispindという呼ばれた。このマルウェアは、キーストロークを記録する（場合によって挿入もできる）ソフトウェア、キーロガーをインストールする可能性がある。

PLATINUMは、コンピュータの%appdata%フォルダにインストールされ、情報を盗取、キーロガーをロード、ファイルやアップデートをダウンロードなど、機密情報がある可能性のファイルを抽出するタスクを実行したりする「JPIN」などの他のマルウェアも使用する。

「Adbupd」は、PLATINUMが利用する別のマルウェアで、前述の2つに類する。プラグインをサポートすることが知られており、特殊化が可能で、さまざまな保護メカニズムに適応できるほどの汎用性がある。

インテルエクスプロイト 2017年、マイクロソフトは告知で、プラチナムがインテルのCPUの機能を悪用を始めたとした"Platinum hacker group uses Intel AMT", Tad Group, 2017-09-25。 問題である機能は、インテルのAMT Serial-over-LAN（SOL）であり、ユーザーは、ホストオペレーティングシステム内のファイアウォールや監視ツールを含む、ターゲットのホストオペレーティングシステムを通して、別のコンピューターをリモート制御できるようになる。

セキュリティ マイクロソフトは脆弱性を最小限にし、大規模ネットワークから機密性の高いデータを遠ざけるため、すべてのセキュリティ更新プログラムを適用することをユーザーに推奨している。PLATINUMは企業秘密の盗取目的で、どのような組織、企業、政府機関でも標的にするため、誰でもこのグループの標的になる可能性がある。

脚注