Kaspersky Lab wykrył technicznie wyrafinowaną platformę cyberszpiegowską, która była aktywna od co najmniej 2013. Platforma ta, której badacze nadali nazwę „TajMahal”, składa się z około 80 szkodliwych modułów i obejmuje funkcjonalność, która wcześniej nie występowała nawet w wyrafinowanych kampaniach cyberprzestępczych.
Badacze z Kaspersky Lab wykryli TajMahal pod koniec 2018 r. Jest to technicznie wyrafinowana platforma stworzona w celu przeprowadzania cyberszpiegostwa na szeroką skalę. Z analizy szkodliwego oprogramowana wynika, że było ono wykorzystywane przez co najmniej pięć ostatnich lat, przy czym najwcześniejsza znana próbka pochodzi z kwietnia 2013 r., natomiast najświeższa z sierpnia 2018 r. Nazwa TajMahal pochodzi od nazwy pliku wykorzystywanego do wyprowadzania skradzionych danych z sieci ofiary. Kaspersky Lab zidentyfikował dotychczas tylko jedną ofiarę, zagraniczną ambasadę państwa środkowoazjatyckiego, ale nie wyklucza innych.
Platforma TajMahal zawiera dwa główne pakiety, które otrzymały nazwy „Tokyo” oraz „Yokohama”. Mniejszy z nich, Tokyo, składa się z dwóch modułów. Jego głównym zadaniem jest otwieranie tylnej furtki w systemie ofiary i okresowe łączenie się z przestępczymi serwerami kontroli. Ponadto pakiet ten pozostaje w sieci nawet po rozpoczęciu drugiego etapu ataku.
– Platforma TajMahal to niezwykle interesujące i intrygujące znalezisko. Niewątpliwie odznacza się wysokim zaawansowaniem technicznym i zawiera funkcjonalność, która jest niespotykana w przypadku ugrupowań cyberprzestępczych. Jednak wiele pytań pozostaje bez odpowiedzi. Na przykład wydaje się mało prawdopodobne, aby tak ogromna inwestycja została podjęta z myślą o jednej ofierze. To sugeruje, że istnieje więcej ofiar, które nie zostały jeszcze wykryte, lub dodatkowe wersje tego szkodnika, ewentualnie jedno i drugie. Nieznane są również wektory dystrybucji i infekcji. Czy wynika to ze stosunkowej bierności tego zagrożenia, czy też z innego względu, to kolejne intrygujące pytanie. Nie istnieją żadne wskazówki pozwalające przypisać to zagrożenie konkretnemu cyberugrupowaniu ani nie wykazuje ono żadnych powiązań ze znanymi cyberprzestępcami – powiedział Aleksiej Szumlin, główny analityk szkodliwego oprogramowania, Kaspersky Lab.
Etap drugi to pakiet Yokohama: w pełni wyposażona platforma szpiegowska. Yokohama zawiera wirtualny system plików (VFS) ze wszystkimi wtyczkami, zewnętrznymi bibliotekami (zarówno autorskimi, jak i posiadającymi otwarty kod źródłowy) oraz plikami konfiguracji. Łącznie istnieje ponad 80 modułów, w tym, między innymi, moduły ładujące szkodliwe oprogramowanie, narzędzia koordynujące atak, rejestratory audio, keyloggery (przechwytujące znaki wprowadzane z klawiatury), moduły przechwytujące zawartość ekranu oraz obraz z kamery, a także narzędzia kradnące dokumenty i klucze kryptograficzne.
TajMahal potrafi również przechwytywać ciasteczka przeglądarki, pobierać listę kopii zapasowych dla urządzeń przenośnych Apple, kraść dane z płyty CD nagranej przez ofiarę, jak również dokumenty znajdujące się w kolejce drukarki. Ponadto może również ukraść konkretny plik z widzianego wcześniej dysku USB. Taki plik zostanie przesłany do przestępców podczas najbliższego podłączenia do komputera danego dysku USB.
Atakowane systemy zidentyfikowane przez Kaspersky Lab zostały zainfekowane zarówno przez pakiet Tokyo, jak i Yokohama. To sugeruje, że Tokyo był wykorzystywany na pierwszym etapie infekcji, instalując w pełni funkcjonalny pakiet Yokohama na urządzeniach wybranych ofiar, a następnie został pozostawiony do celów związanych z tworzeniem kopii zapasowej.
