XDA智能手机网 - 第一智能手机评述媒体
科技您的位置:首页 >科技 >

TajMahal网络间谍活动使用以前看不见的恶意工具

发布时间:2019-04-10 16:09:29 来源:

作为高度隐秘的网络间谍活动的一部分,新发现的恶意软件形式带来了一些新的恶意功能。它似乎是一项全新的操作,与任何已知的威胁行为者或黑客组织没有任何已知链接。

被称为TajMahal的恶意软件在用于泄露被盗数据的文件之后,具有许多以前在后门中看不到的功能。

这些包括窃取发送到打印机队列的文档,能够在可移动驱动器再次可用时窃取先前在可移动驱动器上看到的文件,能够窃取受害者将数据刻录到CD上的能力,以及截取时的屏幕截图能力录制来自VoiceIP应用程序的音频。

除了其独特的功能外,TajMahal还为攻击者提供了被称为“全面的间谍框架”,并为受感染的系统提供了后门。

它可以发出命令,截取桌面和网络摄像头的屏幕截图,并使用键盘记录来窃取用户名,密码和其他信息。它还可以在受害者机器的文件索引器的帮助下打开和泄露文档。

此外,它还可以窃取加密密钥,获取浏览器cookie,收集Apple移动设备的备份列表等,其中大约有80个恶意模块,每个模块都用于间谍活动。

卡巴斯基实验室的研究人员发现了恶意软件,他们在新加坡公司的2019年安全分析师峰会上详细介绍了他们的发现。

TajMahal被描述为“为广泛的网络间谍活动设计的技术复杂的APT框架”,于2018年底首次被发现,但已经活跃了五年多,最早的样本可追溯到2013年4月。

TajMahal能够长时间隐藏在雷达之下,因为它具有全新的代码库,与已知的APT或恶意软件没有相似之处,并且采用了经常用于部署新样本以避免检测的自动更新机制。

但是,在卡巴斯基安全软件将文件标记为可疑之后,研究人员收到了恶意软件的警报。

卡巴斯基实验室首席恶意软件分析师Alexey Shulmin表示:“该文件被证明是一种复杂程度的恶意插件,暗示APT - 并且缺乏与任何已知攻击的代码相似性,这表明它是以前未知的APT。”网易科技。

“利用我们对这个文件的了解,我们能够识别更多这些文件。这使我们得出的结论是,恶意软件是以前未知的,极为罕见的网络间谍平台的一部分,”他补充道。

东京和横滨

研究人员认为该框架基于两个包,称为东京和横滨。东京是两者中较小的一个,只包含三个模块,其中一个是主后门和与命令和控制服务器的连接。

与此同时,Yokohama包含TajMahal的所有其他功能,表明东京可能是最初的滴管,然后作为第二阶段下载提供完整的恶意软件 - 安装了滴管,以备以后需要备份时使用下线。

TajMahal的分发方法仍然是未知的,感染只在野外观察过 - 在被称为'来自中亚国家的外交实体'的系统中,感染发生在2014年。

研究人员指出,此受害者以前未被Zebroacy(与俄罗斯国家支持的黑客组织相关的木马恶意软件)作为攻击目标,但并不认为这两个活动是相关的。

尽管如此,由于恶意软件的复杂性及其独特的能力,外交目标不太可能是TajMahal在五年多时间内受到损害的唯一受害者。

“TajMahal框架是一个非常有趣和有趣的发现。技术上的复杂性是毋庸置疑的,似乎不太可能只对一个受害者进行如此巨大的投资。可能的假设是,还有其他额外的受害者,我们没有发现了,“舒尔敏说。

为了帮助防止新的和未知的威胁参与者的攻击,研究人员建议整个组织使用的所有软件都是最新的,并且应该优先安装旨在修复已知漏洞的安全补丁。

热点推荐
随机文章