Tajmahal casus proqram nədir?

Tədqiqatçılar bu yaxınlarda müxtəlif kiber casusluq vəzifələrini yerinə yetirmək üçün hazırlanmış bir sıra xüsusiyyətlərdən ibarət Tajmahal adlı uyğunlaşdırıla bilən və modul bir proqram kəşf etdilər. Bu casus proqram çərçivəsinin çox yönlülüyü və mürəkkəbliyi təhlükəsizlik mütəxəssislərini və tədqiqatçılarını həyəcanlandırdı. Aşağıdakı məqalədə Tajmahalın nəyə qadir olduğunu daha çox öyrənin.

Kaspersky Laboratoriyasının təhlükəsizlik tədqiqatçıları yeni, yüksək keyfiyyətli, yüksək texnoloji kəşf etdilər casus proqram TajMahal adlı çərçivə. Avtomatik heuristik texnologiyalarından istifadə edərək təhlükəni aşkar edə bildilər. Casus proqram müxtəlif vasitələrin tətbiqi ilə hər cür hücumlara qarşı mübarizə aparmaq qabiliyyətinə malikdir. Yüksək inkişaf etmiş və əvvəllər görünməmiş bir kod bazası ilə xarakterizə olunur. Mütəxəssislər bu günə qədər casus proqramlarında 80 zərərli modul aşkar ediblər. Mütəxəssislər bildirirlər ki, TajMahal casus proqramı beş ildir ki, tam aktiv rejimdədir.

Əslində mütəxəssislər yalnız Mərkəzi Asiya ölkəsinin diplomatik agentliyini hədəfə aldıqda çərçivəni yalnız keçən il kəşf etdilər. Hücumun qurbanı olaraq yalnız birinin meydana çıxması, bir çoxunun təsirsiz qaldığı anlamına gəlmir. Yəqin ki, bundan xəbərsizdirlər, qalan qurbanlar hələ təsdiqlənməyib. Təhlükəsizlik mütəxəssisləri bu inkişaf etmiş davamlı təhdidin (APT) arxasında bir dövlətə hücum edənin dayandığına inanırlar. Lakin, tədqiqatçılar və təhlükəsizlik mütəxəssisləri indiyə qədər heç bir məlum hack qruplarına və ya təhdid edənlərə barmaqlarını işarə etməyiblər.

Tajmahal nə edir?

Bu çərçivənin beş il radar altında qalmağının səbəbi kod bazası ilə əlaqədardır. Bu xüsusi baza digər zərərli proqramlara və ya APT-lərə heç bir aidiyyəti yoxdur. Bu casus proqramın necə işlədiyi və bu APT platformasının nədən ibarət olduğu. Çərçivə, Tokio və Yokohama adlı iki paketin istifadəsi ilə sistemlərə ziyan vurur və yoluxdurur. Tokio əlavə rabitə kanalı kimi xidmət etmək üçün ikinci mərhələ başladıqdan sonra da sistemdən çıxmır.

Digər tərəfdən Yokohama, bu ikinci mərhələnin silah yükü sayır. Tokio-da yalnız üç modul mövcuddur, bunlardan heç biri ilkin arxa işıq kimi işləyir, Yokohama, onlarla digər modullardan ibarət çoxfunksiyalı yükləmə casus proqramdır. Yokohamada hər cür funksionallıq təmin etmək üçün çox sayda modul istifadə olunur. Yokohama, eklentlər, üçüncü kitabxanalar və konfiqurasiya sənədləri ilə tam bir virtual fayl sistemi yaradır. Tokionun ilk arxa qapısı PowerShell hücum sistemindən istifadə edir. Bu, təcavüzkarların daha çox sistemə daha geniş miqyasda yoluxmasına, həmçinin komanda və idarəetmə serverinə qoşulmasına imkan verir. Birinə qoşulmaq, təcavüzkarların fayl və sənədlərə necə girməsidir.

Casus proqramına şərh

Kaspersky təhlükəsizlik tədqiqatçısı Alexey Shulmin, hücum haqqında belə demişdi: “Nəsə, beş ildən artıqdır ki, radar altında qalır. Bunun nisbi hərəkətsizliyə və ya başqa bir şeyə görə olub-olmaması başqa bir maraqlı sualdır. Bu, kibertəhlükəsizlik ictimaiyyətinə əsla kiber məkanda baş verən hər şeyin tam görünməməsi üçün bir xatırlatmadır. “

Tədqiqatçıların fikrincə: “Bu olduqca mürəkkəb bir inkişafdır. TajMahal çox inkişaf etmiş və inkişaf etmiş olmaqdan əlavə olduqca nadirdir. Spyware tamamilə yeni bir koda sahibdir və keçmişdə hazırlanmış bəzi digər casus proqramlarla əlaqəli görünmür ”.

Tajmahal haqqında daha çox məlumat

Kaspersk’in verdiyi məlumata görə, Tajmahal printer sıralarından və bir qurbanın yandırdığı bir CD-dən məlumatları oğurlamağa qadirdir. Ayrıca, FireFox, RealNetworks, Internet Explorer və Netscape Navigator’dan cookies oğurlaya bilər. Budur, casus proqram nə edə bilər. Casus proqram vacib sənədləri çıxarıla bilən saxlama cihazlarından təmizləyə bilər. Etdiyi ilk şey, USB çubuğu kimi çıxarıla bilən sürücüdəki faylları müəyyənləşdirməkdir. Sonra, növbəti dəfə USB sistemdə olduqda hədəflənmiş faylı çıxarır. Əslində, Yokohama ilə təcavüzkarlar güzəşt edilmiş bir kompüterə bir USB daxil edir, üzərindəki məzmunu skan edir və sonra əmr və nəzarət serverinə siyahı göndərir. Təcavüzkarlar çıxarmaq istədikləri faylları seçib yoluxmuş sistemdən əllərini ala biləcəyi yerdir.

Təəssüf ki, bu casus proqramın fayllara daxil olmasının yeganə yolu deyil. Tajmahal, faylları başqa fərqli yollarla güzəştə gedə biləcək daha bir neçə modula sahibdir. Bundan əlavə, TajMahal veb-kamera və masaüstünün ekran görüntülərini çəkməklə yanaşı əmrlər vermək iqtidarındadır. Bəziləri onu ön cədvəl faylından və ya qeyd dəyərlərindən silməsə də, yenidən başladıqdan dərhal sonra fərqli bir ad ilə yenidən görünür.

Toolbarın məzmunu

Bütün alət dəsti arxa yükləyicilərdən, yükləyicilərdən, orkestratorlardan, C2 rabitəçilərindən, səs yazıcılarından, keyloggerlərdən, ekran ələ keçiricilərindən, açar oğurlayıcılardan və fayl indeksatorundan ibarətdir. Bu APT-nin nəyə qadir olduğu bir siyahısı:

Qurbanın yaratdığı peçenye və optik disk şəkillərini oğurlamaq.
Sənədləri və sənədləri çap növbəsindən qarışdırmaq.
Ekran görüntülərini çəkmək və VoIP zənglərini qeyd etmək.
Qurban haqqında məlumatların toplanması (iOS cihazlarının ehtiyat nüsxələrinin siyahısı daxil olmaqla).
Hətta xarici disklərdəki faylları indeksləşdirmək və sürücü yenidən tanındıqda müəyyən sənədləri oğurlamaq.