SAS-2019: обнаружен оригинальный APT-фреймворк TajMahal
По словам аналитиков «Лаборатории Касперского», тулкит обладает огромным набором плагинов.
На конференции SAS-2019 в Сингапуре специалисты «Лаборатории Касперского» рассказали об APT-фреймворке TajMahal, обнаруженном в конце 2018 года. Они выявили сложный, созданный с нуля вредоносный инструмент, который чрезвычайно трудно обнаружить обычными антивирусными сканерами. По мнению исследователей, в данный момент тулкит применяют в целевых атаках на одну из дипломатический миссий в Центральной Азии.
Авторы TajMahal разработали около 80 вредоносных модулей, разделенных на два набора — Tokyo и Yokohama. Арсенал злоумышленников включает в себя:
- кейлоггеры;
- бэкдоры;
- программы для захвата изображения с экрана;
- коммуникационные модули;
- утилиты для записи звука и видео;
- похититель криптоключей;
- приложение для индексации файлов на целевой машине.
Одна из выделяющихся функций тулкита —кража документов со съемных носителей. При первом запуске вредоносный модуль определяет все файлы на USB-накопителе, а потом копирует лишь отдельные отмеченные злоумышленниками объекты. В своем выступлении ИБ-специалисты заявили, что TajMahal обладает одним из самых больших комплектов плагинов, которые они когда-либо встречали в APT-инструментах.
«Фреймворк имеет два типа командных серверов — обычные и аварийные, — объяснил эксперт «Лаборатории Касперского» Алексей Шульмин. — Последние используются для доставки срочных команд, таких как удаление или восстановления зловреда, переключение на основной центр управления или перевод фреймворка в спящий режим. Смена сервера осуществляется через изменение IP-адресов командных доменов. Это очень необычный и интересный подход».
Исследователи указывают на техническую изощренность применяемых в TajMahal решений. Например, если удалить клиентскую часть фреймворка или связанные с ней записи реестра, то после перезагрузки они восстановятся под новым именами. При этом тулкит создан с нуля, без использования кода других зловредов, который может служить индикатором атаки для антивирусных сканеров.
Эксперты отмечают, что группировка активна с августа 2014 года. По их мнению, есть и другие жертвы тех же киберпреступников.
Интересно, что дипмиссия, находящаяся сейчас под прицелом TajMahal, ранее подвергалась атакам зловреда Zebrocy, предположительно связанного с APT-группировкой Sofacy. Тогдашняя кампания не увенчалась успехом.
 |
нравится | не нравится |  |
| Рейтинг: | 1 |
Всего голосов: 1 |
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.