4月9日，卡巴斯基在新加坡举行威胁情报峰会#TheSAS2019,这个峰会干货满满，第一天公布了ShadowHammer攻击活动更多的细节、美国APT木马FLame新版本、震网病毒与Flowershop的关联等信息。今天又爆大新闻，披露了一个包含80个模块的APT框架，该框架是2018年卡巴斯基从某中亚外交部受害者电脑上获取的。目前卡巴大佬并未公布其归属，有趣的是，目前唯一的受害者也是APT28的攻击目标。但中亚地区由于其地理位置以及历史原因，一直是美国想拉拢的对象，而且美国APT向来就以复杂隐秘著称，比如该国的Flame木马，是第一个被发现的模块化木马，也是复杂的多模块木马。
'TajMahal'是卡巴斯基实验室在2018年秋季发现的一个以前未知且技术复杂的APT框架。这个完整的间谍框架由两个名为“东京”和“横滨”的包组成。它包括后门，加载器，协调器，C2通信器，录音机，键盘记录器，屏幕和网络摄像头抓取器，文档和加密密钥窃取程序，甚至是受害者机器的自己的文件索引器。我们发现其加密的虚拟文件系统中存储了多达80个恶意模块，这是我们见过的APT工具集中插件数量最多的插件之一。
为了突出其功能，TajMahal能够从受害者以及打印机队列中刻录的CD中窃取数据。它还可以请求从先前看到的USB记忆棒中窃取特定文件;下次USB连接到计算机时，文件将被盗。
TajMahal至少在过去五年中已经开发和使用。第一个已知的“合法”样本时间戳是从2013年8月开始，最后一个是从2018年4月开始。在受害者的机器上看到TajMahal样本的第一个确认日期是2014年8月。
卡巴斯基发现了两种不同类型的TajMahal包，自称为东京和横滨。卡巴斯基实验室发现的受害者系统被两个软件包感染。这表明东京被用作第一阶段感染，东京在受害者系统布置了功能齐全的横滨，框架如下图所示：
点击此处添加图片说明文字
根据这些受害者机器上的模块，确定了以下有趣的功能：
能够窃取发送到打印机队列的文档。
为受害者侦察收集的数据包括Apple移动设备的备份列表。
录制VoiceIP应用程序音频时拍摄屏幕截图。
能够在再次可用时窃取以前在可移动驱动器上看到的文件。
窃取Internet Explorer，Netscape Navigator，FireFox和RealNetworks cookie。
如果从前端文件或相关注册表值中删除，则在重新引导后将使用新名称和启动类型重新显示。
归属：
该框架究竟出自哪里，有以下猜想
俄罗斯：
卡巴斯基目前只公开了一个受害者，中亚地区一个外交部门，在之前的报道中，APT28也开始针对中亚地区进行攻击活动。
美国：
由地图可见，中亚地区毗邻俄罗斯，中国，该地区一直是美国极力拉拢的对象
而且该框架卡巴称为复杂的模块化框架，根据时间戳最早13年就编译，18年卡巴才首次发现，而美国的APT攻击通常也是隐秘且模块化，不易被发现，像Flame就是第一个被发现的复杂的模块化木马
以上猜想纯属瞎几把说。期待会议PPT能放出来
参考连接：
https://securelist.com/project-tajmahal/90240/
https://threatpost.com/meet-tajmahal/143644/
欢迎关注公众号：威胁情报小屋 了解更多黑客攻击事件
网友评论