概述
‘TajMahal’是卡巴斯基实验室在2018年秋季发现的一个以前未知且技术复杂的APT框架。这个完整的间谍框架由两个名为“东京”和“横滨”的包组成。它包括后门,加载器,协调器,C2通信器,录音机,键盘记录器,屏幕和网络摄像头抓取器,文档和加密密钥窃取程序,甚至是受害者机器的自己的文件索引器。我们发现其加密的虚拟文件系统中存储了多达80个恶意模块,这是我们见过的APT工具集中插件数量非常多的插件之一。
为了突出其功能,TajMahal能够从受害者以及打印机队列中刻录的CD中窃取数据。它还可以请求从先前看到的USB记忆棒中窃取特定文件;下次USB连接到计算机时,文件将被盗。
TajMahal至少在过去五年中已经开发和使用。名列前茅个已知的“合法”样本时间戳是从2013年8月开始,最后一个是从2018年4月开始。在受害者的机器上看到TajMahal样本的名列前茅个确认日期是2014年8月。
技术细节
卡巴斯基发现了两种不同类型的TajMahal包,自称为东京和横滨。卡巴斯基实验室发现的受害者系统被两个软件包感染。这表明东京被用作名列前茅阶段感染,东京在受害者系统布置了功能齐全的横滨,框架如下图所示:
根据这些受害者机器上的模块,确定了以下有趣的功能:
-
能够窃取发送到打印机队列的文档。
-
为受害者侦察收集的数据包括Apple移动设备的备份列表。
-
录制VoiceIP应用程序音频时拍摄屏幕截图。
-
偷了写CD图像。
-
能够在再次可用时窃取以前在可移动驱动器上看到的文件。
-
窃取Internet Explorer,Netscape Navigator,FireFox和RealNetworks cookie。
-
如果从前端文件或相关注册表值中删除,则在重新引导后将使用新名称和启动类型重新显示。
归属:
猜想一:俄罗斯
卡巴斯基目前只公开了一个受害者,中亚地区一个外交部门,在之前的报道中,APT28也开始针对中亚地区进行攻击活动。
猜想二:美国:
由地图可见,中亚地区毗邻俄罗斯,中国,该地区一直是美国极力拉拢的对象
而且该框架卡巴称为复杂的模块化框架,根据时间戳较早13年就编译,18年卡巴才首次发现,而美国的APT攻击通常也是隐秘且模块化,不易被发现,像Flame就是名列前茅个被发现的复杂的模块化木马
看完上述内容是否对您有帮助呢?如果还想对相关知识有进一步的了解或阅读更多相关文章,请关注亿速云行业资讯频道,感谢您对亿速云的支持。
文章标题:APT框架TajMahal怎么用,发布者:亿速云,转载请注明出处:https://worktile.com/kb/p/27821