На конференции SAS-2019 в Сингапуре специалисты «Лаборатории Касперского» рассказали об APT-фреймворке TajMahal, обнаруженном в конце 2018 года. Они выявили сложный, созданный с нуля вредоносный инструмент, который чрезвычайно трудно обнаружить обычными антивирусными сканерами. Исследователям удалось установить одну жертву заражения — дипломатическую миссию в Центральной Азии.

Авторы TajMahal разработали около 80 вредоносных модулей, разделенных на два набора — Tokyo и Yokohama. Арсенал злоумышленников включает:

  • кейлоггеры;
  • бэкдоры;
  • программы для захвата изображения с экрана;
  • коммуникационные модули;
  • утилиты для записи звука и видео;
  • похититель криптоключей;
  • приложение для индексации файлов на целевой машине.

Одна из примечательных функций тулкита — кража документов со съемных носителей. При первом запуске вредоносный модуль определяет все файлы на USB-накопителе, а потом копирует лишь отдельные отмеченные злоумышленниками объекты. В своем выступлении ИБ-специалисты заявили, что TajMahal обладает одним из самых больших комплектов плагинов, которые они когда-либо встречали в APT-инструментах.

«Фреймворк имеет два типа командных серверов — обычные и аварийные, — объяснил эксперт «Лаборатории Касперского» Алексей Шульмин. — Последние используются для доставки срочных команд, таких как удаление или восстановления зловреда, переключение на основной центр управления или перевод фреймворка в спящий режим. Смена сервера осуществляется через изменение IP-адресов командных доменов. Это очень необычный и интересный подход».

Исследователи указывают на техническую изощренность применяемых в TajMahal решений. Например, если удалить клиентскую часть фреймворка или связанные с ней записи реестра, то после перезагрузки они восстановятся под новым именами. При этом тулкит создан с нуля, без использования кода других зловредов, который может служить индикатором атаки для антивирусных сканеров.

Эксперты отмечают, что группировка активна с августа 2014 года. По их сведениям, есть и другие жертвы тех же киберпреступников.

Интересно, что дипмиссия, находящаяся сейчас под прицелом TajMahal, ранее подвергалась атакам зловреда Zebrocy, предположительно связанного с APT-группировкой Sofacy. Та кампания не увенчалась успехом.

Категории: Аналитика, Вредоносные программы, Хакеры