Badacze z Kaspersky Lab wykryli technicznie wyrafinowaną platformę cyberszpiegowską, która była aktywna od co najmniej 2013 r. i wydaje się być niepowiązana z żadnymi znanymi cyberugrupowaniami. Platforma ta, której badacze nadali nazwę „TajMahal”, składa się z około 80 szkodliwych modułów i obejmuje funkcjonalność, która wcześniej nie występowała nawet w wyrafinowanych kampaniach cyberprzestępczych. Kaspersky Lab zidentyfikował dotychczas tylko jedną ofiarę, zagraniczną ambasadę państwa
środkowoazjatyckiego, ale nie wyklucza innych.
Badacze z Kaspersky Lab wykryli TajMahal pod koniec 2018 r. Jest to technicznie wyrafinowana platforma stworzona w celu przeprowadzania cyberszpiegostwa na szeroką skalę. Z analizy szkodliwego oprogramowana wynika, że było ono wykorzystywane przez co najmniej pięć ostatnich lat, przy czym najwcześniejsza znana próbka pochodzi z kwietnia 2013 r., natomiast najświeższa z sierpnia 2018 r. Nazwa TajMahal pochodzi od nazwy pliku wykorzystywanego do wyprowadzania skradzionych danych z sieci ofiary.
Platforma TajMahal zawiera dwa główne pakiety, które otrzymały nazwy „Tokyo” oraz „Yokohama”. Mniejszy z nich, Tokyo, składa się z dwóch modułów. Jego głównym zadaniem jest otwieranie tylnej furtki w systemie ofiary i okresowe łączenie się z przestępczymi serwerami kontroli. Ponadto pakiet ten pozostaje w sieci nawet po rozpoczęciu drugiego etapu ataku.
Etap drugi to pakiet Yokohama: w pełni wyposażona platforma szpiegowska. Yokohama zawiera wirtualny system plików (VFS) ze wszystkimi wtyczkami, zewnętrznymi bibliotekami (zarówno autorskimi, jak i posiadającymi otwarty kod źródłowy) oraz plikami konfiguracji. Łącznie istnieje ponad 80 modułów, w tym, między innymi, moduły ładujące szkodliwe oprogramowanie, narzędzia koordynujące atak, rejestratory audio, keyloggery (przechwytujące znaki wprowadzane z klawiatury), moduły przechwytujące zawartość ekranu oraz obraz z kamery, a także narzędzia kradnące dokumenty i klucze kryptograficzne.
TajMahal potrafi również przechwytywać ciasteczka przeglądarki, pobierać listę kopii zapasowych dla urządzeń przenośnych Apple, kraść dane z płyty CD nagranej przez ofiarę, jak również dokumenty znajdujące się w kolejce drukarki. Ponadto może również ukraść konkretny plik z widzianego wcześniej dysku USB. Taki plik zostanie przesłany do przestępców podczas najbliższego podłączenia do komputera danego dysku USB.
Atakowane systemy zidentyfikowane przez Kaspersky Lab zostały zainfekowane zarówno przez pakiet Tokyo, jak i Yokohama. To sugeruje, że Tokyo był wykorzystywany na pierwszym etapie infekcji, instalując w pełni funkcjonalny pakiet Yokohama na urządzeniach wybranych ofiar, a następnie został pozostawiony do celów związanych z tworzeniem kopii zapasowej.
Jak dotąd zidentyfikowano tylko jedną ofiarę – zagraniczną placówkę dyplomatyczną państwa środkowoazjatyckiego, która została zainfekowana w 2014 r. Wektory rozprzestrzeniania i infekcji dotyczące TajMahal nie są na razie znane.
– Platforma TajMahal to niezwykle interesujące i intrygujące znalezisko. Niewątpliwie odznacza się wysokim zaawansowaniem technicznym i zawiera funkcjonalność, która jest niespotykana w przypadku ugrupowań cyberprzestępczych. Jednak wiele pytań pozostaje bez odpowiedzi. Na przykład wydaje się mało prawdopodobne, aby tak ogromna inwestycja została podjęta z myślą o jednej ofierze. To sugeruje, że istnieje więcej ofiar, które nie zostały jeszcze wykryte, lub dodatkowe wersje tego szkodnika, ewentualnie jedno i drugie. Nieznane są również wektory dystrybucji i infekcji. Czy wynika to ze stosunkowej bierności tego zagrożenia, czy też z innego względu, to kolejne intrygujące pytanie. Nie istnieją żadne wskazówki pozwalające przypisać to zagrożenie konkretnemu cyberugrupowaniu ani nie wykazuje ono żadnych powiązań ze znanymi cyberprzestępcami – powiedział Aleksiej Szumlin, główny analityk szkodliwego oprogramowania, Kaspersky Lab.
Wszystkie produkty firmy Kaspersky Lab skutecznie wykrywają i blokują zagrożenie TajMahal.
Aby nie paść ofiarą ataku ukierunkowanego znanego lub nieznanego cyberugrupowania, badacze z Kaspersky Lab zalecają stosowanie następujących środków bezpieczeństwa:
- Korzystaj z zaawansowanych narzędzi zabezpieczających, takich jak Kaspersky Anti Targeted Attack Platform (KATA), i zadbaj o to, aby zespół ds. bezpieczeństwa posiadał dostęp do najnowszych danych analitycznych dot. cyberzagrożeń.
- Dopilnuj, aby wszystkie programy w organizacji były regularnie aktualizowane, szczególnie gdy zostanie udostępniona nowa łata bezpieczeństwa. W automatyzacji tych procesów pomocne mogą być produkty zabezpieczające oferujące funkcje oceny luk w zabezpieczeniach oraz zarządzania łatami.
- Aby zapewnić skuteczną ochronę przed znanymi i nieznanymi zagrożeniami, w tym exploitami dnia zerowego, wybierz sprawdzone rozwiązanie zabezpieczające, takie jak Kaspersky Endpoint Security, które jest wyposażone w funkcje wykrywania oparte na analizie zachowania.
- Zadbaj o to, aby personel posiadał podstawową znajomość higieny związanej z cyberbezpieczeństwem, ponieważ wiele ataków ukierunkowanych rozpoczyna się od prostego phishingu lub zastosowania innej metody socjotechnicznej.