APT框架TajMahal怎么用

概述

‘TajMahal’是卡巴斯基实验室在2018年秋季发现的一个以前未知且技术复杂的APT框架。这个完整的间谍框架由两个名为“东京”和“横滨”的包组成。它包括后门，加载器，协调器，C2通信器，录音机，键盘记录器，屏幕和网络摄像头抓取器，文档和加密密钥窃取程序，甚至是受害者机器的自己的文件索引器。我们发现其加密的虚拟文件系统中存储了多达80个恶意模块，这是我们见过的APT工具集中插件数量非常多的插件之一。

为了突出其功能，TajMahal能够从受害者以及打印机队列中刻录的CD中窃取数据。它还可以请求从先前看到的USB记忆棒中窃取特定文件;下次USB连接到计算机时，文件将被盗。

TajMahal至少在过去五年中已经开发和使用。名列前茅个已知的“合法”样本时间戳是从2013年8月开始，最后一个是从2018年4月开始。在受害者的机器上看到TajMahal样本的名列前茅个确认日期是2014年8月。

技术细节

卡巴斯基发现了两种不同类型的TajMahal包，自称为东京和横滨。卡巴斯基实验室发现的受害者系统被两个软件包感染。这表明东京被用作名列前茅阶段感染，东京在受害者系统布置了功能齐全的横滨，框架如下图所示：

根据这些受害者机器上的模块，确定了以下有趣的功能：

• 能够窃取发送到打印机队列的文档。

• 为受害者侦察收集的数据包括Apple移动设备的备份列表。

• 录制VoiceIP应用程序音频时拍摄屏幕截图。

• 偷了写CD图像。

• 能够在再次可用时窃取以前在可移动驱动器上看到的文件。

• 窃取Internet Explorer，Netscape Navigator，FireFox和RealNetworks cookie。

• 如果从前端文件或相关注册表值中删除，则在重新引导后将使用新名称和启动类型重新显示。

归属：

猜想一：俄罗斯

卡巴斯基目前只公开了一个受害者，中亚地区一个外交部门，在之前的报道中，APT28也开始针对中亚地区进行攻击活动。

猜想二：美国：

由地图可见，中亚地区毗邻俄罗斯，中国，该地区一直是美国极力拉拢的对象

而且该框架卡巴称为复杂的模块化框架，根据时间戳较早13年就编译，18年卡巴才首次发现，而美国的APT攻击通常也是隐秘且模块化，不易被发现，像Flame就是名列前茅个被发现的复杂的模块化木马

看完上述内容是否对您有帮助呢？如果还想对相关知识有进一步的了解或阅读更多相关文章，请关注亿速云行业资讯频道，感谢您对亿速云的支持。