ターゲットPCへの物理的なアクセスの証拠を消すCIAのツール「Dumbo」 15
ストーリー by headless
大耳 部門より
大耳 部門より
WikiLeaksは3日、米中央情報局(CIA)がターゲットのPCに直接アクセスする作戦を実施する際、現場のエージェントが使用していたというツール「Dumbo」のドキュメントをVault 7プロジェクトで公開した(Vault 7 — Dumbo、
V3の記事、
BetaNewsの記事、
Softpediaの記事)。
これまでにVault 7プロジェクトで公開されたCIAのツールには、ターゲットマシンへの物理的なアクセスが必要とみられるものもある。Dumboは物理アクセス作戦を行うPAG(Physical Access Group)のエージェントがUSBメモリーから起動して使用するものだという。
対応OSはWindows XP(32ビット版のみ)およびWindows Vista以降のWindows OSで、SYSTEMの権限で実行する必要がある。Administrator権限で実行した場合、DumboはSYSTEMでの再起動を自動的に試行するとのこと。
Dumboの機能としては、ターゲットマシン上で実行されている監視システムの検出・操作やネットワーク/Bluetoothアダプターの無効化、ローカルまたはネットワーク(有線/無線/Bluetooth)で接続されたWebカメラやマイクによる記録の停止、実行中に記録されたファイルの削除など。これにより、作戦実行の証拠を隠滅するとのことだ。
これまでにVault 7プロジェクトで公開されたCIAのツールには、ターゲットマシンへの物理的なアクセスが必要とみられるものもある。Dumboは物理アクセス作戦を行うPAG(Physical Access Group)のエージェントがUSBメモリーから起動して使用するものだという。
対応OSはWindows XP(32ビット版のみ)およびWindows Vista以降のWindows OSで、SYSTEMの権限で実行する必要がある。Administrator権限で実行した場合、DumboはSYSTEMでの再起動を自動的に試行するとのこと。
Dumboの機能としては、ターゲットマシン上で実行されている監視システムの検出・操作やネットワーク/Bluetoothアダプターの無効化、ローカルまたはネットワーク(有線/無線/Bluetooth)で接続されたWebカメラやマイクによる記録の停止、実行中に記録されたファイルの削除など。これにより、作戦実行の証拠を隠滅するとのことだ。
再起動してたら意味ない (スコア:2)
CIA様
再起動後のイベントビューアーも消してくれるんでしょうか
Re: (スコア:0)
イベントビューアーの記録は消せるけど消したという記録は残りますからねぇ
それとも記録そのものを消すと記録されてなかったことになったりするのかな
それだとさすがに脆弱性レベルで問題な気もします
記録そのものを消えた場合には参照できないエラーであるべきですし
この辺りの仕様についてはMSDNのどこかにあるのかな
Re: (スコア:0)
こういう用途に必要なのは完璧なことより予測可能なことじゃないの
例えば一定以上のスキルの人間が見たらこういう兆候に気付くと決まっているとしたら、そいつに触られる前にディスクごと廃棄する工作をさらに入れるとか
そんなの10年以上前からあるだろ (スコア:1)
このPCは10秒後に爆発する
Re:そんなの10年以上前からあるだろ (スコア:1)
MIBのニューラライザー？
Re: (スコア:0)
MIBと書かれるとSNMPかと思っちゃった
物理的 (スコア:0)
物理的って言葉の意味が再定義されつつあるような。
Re:物理的 (スコア:2, 興味深い)
＞言葉の意味が再定義されつつあるような。
「オンラインとは、パンチカードを読み取り機にセットするために、行列に並ぶことを意味していた。」
なにかで読んだけど、ホントか嘘かは分からない。
Re: (スコア:0)
ぱっと見、指紋をひと拭きでサッパリ消し去る便利なクロス素材でも開発されたのかと思いました。スマホ用に欲しい。
Re: (スコア:0)
どうせデータは磁性体か電子を操作して記録しているんだろ？つまりどちらも電磁気的操作だ。そして電磁気学とは物理学の一分野であるからして…中略…物理的な証拠を物理的手法で消去したと言っていい。
まあUSBメモリを対象となる端末のUSBポートに差し込むという手順は物理的と言って良いかもしれない。
Re: (スコア:0)
でもデータを書き写してるのは妖精さんだよね。
Vista以降ならUAC警告出るけど (スコア:0)
PCの目の前にいる時点で意味ねーなw
SYSTEMでの再起動を自動的に試行する？ (スコア:0)
SYSTEMアカウントでログインすることはできないのでは？
WikiLeaksのサイトにも、「administrator権限を要求する」としか書かれていないように見える。
>it requires administrator privileges to perform its task.
Re: (スコア:0)
ここに書かれている？
https://wikileaks.org/vault7/document/Dumbo-v3_0-User_Guide/page-5/#pa... [wikileaks.org]
Re: (スコア:0)
ああ、自分の「プロセス」をSYSTEMアカウントで再起動するって意味ですか。
自身をサービスのように偽装するためですかね。