この「オーロラ作戦」の記事を読んで、どの国がテロを起こしたと思われましたか？
オーロラ作戦は、中国の北京に拠点を置き、人民解放軍と関係のあるElderwood Groupなどの高度持続的脅威によって行われた一連のサイバー攻撃なのだ。2010年1月12日にGoogleがブログ記事で初めて公にしたもので、攻撃は2009年半ばから2009年12月まで継続されました。

この攻撃は他にも数十の組織を狙っており、そのうちAdobe Systems, Akamai Technologies, Juniper Networks, and Rackspace は標的となったことを公に確認しているのだ。メディアの報道によると、Yahoo、Symantec、Northrop Grumman、Morgan Stanley、、Dow Chemicalも標的の1つでした。

この攻撃の結果、グーグルはブログで、中国で完全に検閲されていないバージョンの検索エンジンを「可能であれば法律の範囲内で」運営する予定であると述べ、それが不可能な場合は中国を離れ、中国オフィスを閉鎖する可能性があると認めた。 中国の公式情報筋は、これは米国政府によって練られた戦略の一部であると主張した。

この攻撃は、サイバーセキュリティ企業McAfeeの脅威研究担当副社長であるDmitri Alperovitchによって「Operation Aurora」と命名されました。McAfee Labsの調査により、"Aurora "が攻撃者のマシン上のファイルパスの一部であり、McAfeeがこの攻撃に関連しているとしたマルウェアバイナリのうち2つに含まれていることが判明しました。"我々はこの名前が攻撃者（複数）がこの作戦に与えた内部名だと考えている "とMcAfee最高技術責任者のGeorge Kurtzはブログ記事で述べている。

McAfeeによると、この攻撃の主な目的は、これらのハイテク、セキュリティ、および防衛請負会社のソースコードリポジトリにアクセスし、潜在的に変更することでした。アルペロビッチ氏は、「（SCMは）広く開かれていた」と言いるのだ。「しかし、SCMは、多くの点でこれらの企業の宝であり、財務データや個人を特定できるデータよりもはるかに価値があり、保護するために多くの時間と労力を費やしていたのです」。

沿革

撤退の可能性を発表したGoogle中国本社の前に残された花束
2010年1月12日、Googleは自社のブログでサイバー攻撃の被害に遭ったことを明らかにした。同社によると、攻撃は12月中旬に発生し、中国から発信された。Googleは、20社以上の企業が攻撃を受けたと述べているが、他の情報筋によると、34以上の組織が標的にされたとのことなのだ。この攻撃の結果、Googleは中国でのビジネスを見直すと述べた。同日、米国のHillary Clinton国務長官は、この攻撃を非難し中国に対応を求める短い声明を発表した。

2010年1月13日、通信社All Headline Newsは、中国政府が人権活動家をスパイするために同社のサービスを利用したというGoogleの申し立てについて、米国議会が調査を計画していると報じた。

北京では、訪問者がGoogleのオフィスの外に花を置いた。しかし、中国の警備員がこれは「違法な献花」であると述べたため、これらは後に撤去された。中国政府はまだ正式な回答を出していないが、匿名の関係者は、中国はグーグルの意図についてさらなる情報を求めていると述べている。

関与した攻撃者
さらに詳しい情報はこちら中国によるサイバー戦争
IPアドレス、ドメイン名、マルウェアのシグネチャなどを含む技術的証拠から、Operation Aurora攻撃の背後にElderwoodがいたことが判明しました。Elderwood」グループは、Symantecによって命名され（攻撃者が使用したソースコード変数にちなんで）、Dell Secureworksによって「Beijing Group」と呼ばれている。このグループは、Googleのソースコードの一部を入手し、中国の活動家に関する情報にもアクセスしました。Elderwoodは他にも、海運、航空、武器、エネルギー、製造、エンジニアリング、電子、金融、ソフトウェア分野の多数の企業を標的としていました。

Googleへの攻撃を担当した中国の脅威行為者の「APT」呼称は、APT17なのだ。

Elderwood社は、一流防衛企業の電子部品や機械部品を製造する二流防衛産業サプライヤーを攻撃して侵入することを専門としているのだ。これらの企業は、その後、トップクラスの防衛関連企業にアクセスするためのサイバー上の「踏み台」となる。エルダーウッドが用いる攻撃方法のひとつは、ターゲット企業の従業員が頻繁に利用する正規のウェブサイトに感染させることなのだ。いわゆる「ウォーターホール」攻撃で、ライオンが獲物のために水飲み場を確保するのと同じなのだ。Elderwoodは、これらの安全性の低いサイトにマルウェアを感染させ、サイトをクリックしたコンピュータにダウンロードさせます。その後、感染したコンピュータが接続されているネットワーク内を検索し、幹部の電子メールや会社の計画、決定、買収、製品設計に関する重要な文書を見つけ出し、ダウンロードする。

アタック解析
Googleはブログの投稿で、同社の知的財産の一部が盗まれたと述べているのだ。また、攻撃者は中国の反体制派のGmailアカウントにアクセスすることに関心があったことを示唆している。Financial Timesによると、Ai Weiweiが使用していた2つのアカウントが攻撃され、その内容が読み取られ、コピーされました。彼の銀行口座は、国家安全保障局によって調査され、彼は「不特定の疑わしい犯罪」で調査中であると主張しました しかし、攻撃者は、2つのアカウントの詳細を見ることができるだけでした。それらの詳細は、主題行とアカウントの作成日などのものに限られていました .

この攻撃が公になった2日後、McAfeeは、攻撃者がInternet Explorerのゼロデイ脆弱性（未修正でターゲットシステムの開発者がそれまで知らなかったもの）を悪用したと報告し、この攻撃を「Operation Aurora」と名付けました  。McAfeeによる報告から1週間後、Microsoftはこの問題の修正プログラムを発表し、9月から使用されていたセキュリティホールについて知っていたことを認めた。Googleがソースコードの管理に使用しているソースコード修正ソフトウェアPerforceに追加の脆弱性が発見された。

ベリサインのiDefense Labsは、この攻撃は「中国国家のエージェントまたはその代理人」によって行われたと主張した。

北京の米国大使館からの外交公電によると、中国の情報源は、中国の政治局がGoogleのコンピュータシステムへの侵入を指示したと報告した。この公電は、この攻撃が「中国政府が採用した政府工作員、公安専門家、インターネット無法者」によって実行された協調キャンペーンの一環であることを示唆しており、攻撃者は「2002年以来、アメリカ政府のコンピュータや西側同盟国、ダライ・ラマ、アメリカ企業のコンピュータに侵入している」という進行中のキャンペーンの一環であることを示唆している。"リークに関するガーディアンの報道によると、攻撃は「政治局の幹部が自分の名前をグローバル版の検索エンジンに入力し、彼個人を批判する記事を見つけたことで組織された」という。

被害者のシステムが侵害されると、SSL接続を装ったバックドア接続により、イリノイ州、テキサス州、台湾で稼働するコマンド＆コントロールサーバ（盗んだRackspaceの顧客アカウントで稼働するマシンなど）に接続されました。被害者のマシンはその後、保護された企業内イントラネットを探索し、他の脆弱なシステムや知的財産のソース（特にソースコードリポジトリの内容）を探し出しました。

1月4日に指揮命令系統のサーバーがダウンしたことで攻撃は決定的に終わったと考えられていたが、攻撃者が意図的にシャットダウンしたかどうかは現時点では不明なのだ。ただし、2010年2月の時点でも攻撃は発生していた。

対応と余波
ドイツ、オーストラリア、フランス政府は、攻撃後、Internet Explorerのユーザーに対し、少なくともセキュリティホールの修正が行われるまでは代替ブラウザを使用するよう警告を公布した。 ドイツ、オーストラリア、フランス政府は、Internet Explorerのすべてのバージョンを脆弱または脆弱の恐れがあると考えた。

マイクロソフトは、2010年1月14日のアドバイザリーで、Googleをはじめとする米国企業を狙った攻撃者が、Internet Explorerの穴を突くソフトウェアを使用していたと発表しました。この脆弱性は、Windows 7、Vista、Windows XP、Server 2003、Server 2008 R2上のInternet Explorerバージョン6、7、8、およびWindows 2000 Service Pack 4上のIE 6 Service Pack 1に影響するのだ。

この攻撃に使用されたInternet Explorerのエクスプロイトコードはパブリックドメインとして公開され、侵入テストツール「Metasploit Framework」に組み込まれました。このエクスプロイトのコピーは、カリフォルニア大学サンタバーバラ校のコンピュータセキュリティグループが運営するウェブベースのマルウェアを検出・分析するサービスであるWepawetにアップロードされたものなのだ。"エクスプロイトコードの公開により、Internet Explorerの脆弱性を利用した攻撃が広く行われる可能性が高まった "と、マカフィーのCTOであるジョージ・カーツ氏は今回の攻撃について述べているのだ。"今公開されているコンピュータコードは、サイバー犯罪者がWindowsシステムを侵害するために脆弱性を使用する攻撃を作るのに役立つかもしれません。"。

セキュリティ企業のWebsenseは、悪意のあるWebサイトに迷い込んだユーザーに対するドライブバイ攻撃において、パッチが適用されていないIEの脆弱性の「限定的な一般利用」を確認したと述べた。Websenseによれば、それが発見した攻撃コードは、先週公開されたエクスプロイトと同じなのだ。[マカフィーの最高技術責任者であるジョージ・カーツは、ブログの更新で「Internet Explorerのユーザーは、脆弱性の公開と攻撃コードの公開により、現在、現実的な危険に直面しており、広範な攻撃の可能性が高まっています」と述べているのだ。 38] この推測を裏付けるように、Websense Security Labsは1月19日にこの攻撃を使用している追加のサイトを特定しました。 Ahnlabからの報告によると、2番目のURLは韓国で人気のIMクライアント、インスタントメッセージングネットワーク「ミスリメッセージング」を通じて拡散しました ．

研究者は、マイクロソフトが推奨する防御策（データ実行防止（DEP））がオンになっていても、Internet Explorer 7（IE7）とIE8でこの脆弱性を悪用する攻撃コードを作成しました[dubious - discuss] セキュリティ脆弱性研究者のDino Dai Zoviによると、「Windows XP Service Pack 2（SP2）以前や、Microsoftが2007年1月に出荷したWindows Vista RTM（製造へのリリース）で実行している場合は最新のIE8でさえ攻撃から安全ではない」 。

マイクロソフトは、使用されたセキュリティホールが9月から知られていたことを認めました。更新プログラムの作業が優先され、2010年1月21日木曜日に、この脆弱性とそれに基づく公開された悪用、その他多数の非公開の脆弱性への対策を目的としたセキュリティパッチをリリースしました。後者が攻撃者によって使用または公開されているか、これらがAurora作戦と特に関係があるかは明らかにしませんでしたが、累積アップデート全体はWindows 7を含むほとんどのバージョンのWindowsに対して「重要」とされました。

セキュリティ研究者は、この攻撃について調査を続けていました。セキュリティ企業のHBGaryは、コードの開発者を特定するのに役立ちそうないくつかの重要なマーカーを見つけたと主張する報告書を発表した。また、この会社は、コードは中国語をベースにしているが、どの政府機関とも特に関連付けることはできないとしている。

2010年2月19日、Googleへのサイバー攻撃を調査していたセキュリティ専門家は、この攻撃の背後にいる人々は、過去1年半の間にFortune 100社の数社に対して行われたサイバー攻撃にも責任があると主張しているのだ。彼らはまた、攻撃の起点を追跡し、中国の2つの学校、上海交通大学と蘭翔職業学校であると思われる。ニューヨークタイムズが強調したように、これらの学校の両方は、Google中国のライバルである中国の検索エンジンBaiduと関係があります。蘭翔職業大学と交通大学の両方は、この疑惑を否定しています。

2010年3月、Googleのためにこの攻撃の調査を手伝っていたSymantecは、紹興が世界中で送信された悪意のある電子メールの21.3％（120億通）の送信元であると特定しました。

グーグル回顧録
2022年10月3日、Google on YouTubeは、「オーロラ作戦」で発生した出来事を、攻撃に対処した内部関係者の解説付きで取り上げた6話のシリーズを公開したが、このシリーズの主な焦点は、ハッキングの試みに対抗する措置が講じられていることをGoogle利用者に安心させることにあった。
この作戦の背後には、中国の人民解放軍が関与していると考えられているのだ。