Badacze z Kaspersky Lab wykryli TajMahal pod koniec 2018 r. Jest to technicznie wyrafinowana platforma stworzona w celu przeprowadzania cyberszpiegostwa na szeroką skalę. Z analizy szkodliwego oprogramowania wynika, że było ono wykorzystywane przez co najmniej pięć ostatnich lat, przy czym najwcześniejsza znana próbka pochodzi z kwietnia 2013 r., natomiast najświeższa z sierpnia 2018 r. Nazwa TajMahal pochodzi od nazwy pliku wykorzystywanego do wyprowadzania skradzionych danych z sieci ofiary.  

Platforma TajMahal zawiera dwa główne pakiety, które otrzymały nazwy „Tokyo” oraz „Yokohama”. Mniejszy z nich, Tokyo, składa się z dwóch modułów. Jego głównym zadaniem jest otwieranie tylnej furtki w systemie ofiary i okresowe łączenie się z przestępczymi serwerami kontroli. Ponadto pakiet ten pozostaje w sieci nawet po rozpoczęciu drugiego etapu ataku.     

Etap drugi to pakiet Yokohama: w pełni wyposażona platforma szpiegowska. Yokohama zawiera wirtualny system plików (VFS) ze wszystkimi wtyczkami, zewnętrznymi bibliotekami (zarówno autorskimi, jak i posiadającymi otwarty kod źródłowy) oraz plikami konfiguracji. Łącznie istnieje ponad 80 modułów, w tym, między innymi, moduły ładujące szkodliwe oprogramowanie, narzędzia koordynujące atak, rejestratory audio, keyloggery (przechwytujące znaki wprowadzane z klawiatury), moduły przechwytujące zawartość ekranu oraz obraz z kamery, a także narzędzia kradnące dokumenty i klucze kryptograficzne.      

TajMahal potrafi również przechwytywać ciasteczka przeglądarki, pobierać listę kopii zapasowych dla urządzeń przenośnych Apple, kraść dane z płyty CD nagranej przez ofiarę, jak również dokumenty znajdujące się w kolejce drukarki. Ponadto może również ukraść konkretny plik z widzianego wcześniej dysku USB. Taki plik zostanie przesłany do przestępców podczas najbliższego podłączenia do komputera danego dysku USB.    

Atakowane systemy zidentyfikowane przez badaczy zostały zainfekowane zarówno przez pakiet Tokyo, jak i Yokohama. To sugeruje, że Tokyo był wykorzystywany na pierwszym etapie infekcji, instalując w pełni funkcjonalny pakiet Yokohama na urządzeniach wybranych ofiar, a następnie został pozostawiony do celów związanych z tworzeniem kopii zapasowej.     

Jak dotąd zidentyfikowano tylko jedną ofiarę – zagraniczną placówkę dyplomatyczną państwa środkowoazjatyckiego. Miało to miejsce w 2014 r. Wektory rozprzestrzeniania i infekcji dotyczące TajMahal nie są na razie znane.

Źródło: Kaspersky Lab Polska