SAS-2019: обнаружен оригинальный APT-фреймворк TajMahal

По словам аналитиков «Лаборатории Касперского», тулкит обладает огромным набором плагинов.

На конференции SAS-2019 в Сингапуре специалисты «Лаборатории Касперского» рассказали об APT-фреймворке TajMahal, обнаруженном в конце 2018 года. Они выявили сложный, созданный с нуля вредоносный инструмент, который чрезвычайно трудно обнаружить обычными антивирусными сканерами. По мнению исследователей, в данный момент тулкит применяют в целевых атаках на одну из дипломатический миссий в Центральной Азии.

Авторы TajMahal разработали около 80 вредоносных модулей, разделенных на два набора — Tokyo и Yokohama. Арсенал злоумышленников включает в себя:

• кейлоггеры;
• бэкдоры;
• программы для захвата изображения с экрана;
• коммуникационные модули;
• утилиты для записи звука и видео;
• похититель криптоключей;
• приложение для индексации файлов на целевой машине.

Одна из выделяющихся функций тулкита —кража документов со съемных носителей. При первом запуске вредоносный модуль определяет все файлы на USB-накопителе, а потом копирует лишь отдельные отмеченные злоумышленниками объекты. В своем выступлении ИБ-специалисты заявили, что TajMahal обладает одним из самых больших комплектов плагинов, которые они когда-либо встречали в APT-инструментах.

«Фреймворк имеет два типа командных серверов — обычные и аварийные, — объяснил эксперт «Лаборатории Касперского» Алексей Шульмин. — Последние используются для доставки срочных команд, таких как удаление или восстановления зловреда, переключение на основной центр управления или перевод фреймворка в спящий режим. Смена сервера осуществляется через изменение IP-адресов командных доменов. Это очень необычный и интересный подход».

Исследователи указывают на техническую изощренность применяемых в TajMahal решений. Например, если удалить клиентскую часть фреймворка или связанные с ней записи реестра, то после перезагрузки они восстановятся под новым именами. При этом тулкит создан с нуля, без использования кода других зловредов, который может служить индикатором атаки для антивирусных сканеров.

Эксперты отмечают, что группировка активна с августа 2014 года. По их мнению, есть и другие жертвы тех же киберпреступников.

Интересно, что дипмиссия, находящаяся сейчас под прицелом TajMahal, ранее подвергалась атакам зловреда Zebrocy, предположительно связанного с APT-группировкой Sofacy. Тогдашняя кампания не увенчалась успехом.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 1

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля