Uma rede sofisticada de ciberespionagem chamada “TajMahal” estava ativa desde 2013 para invadir, roubar dados e corromper sistemas de tráfego de informação. No final de 2018, a plataforma maliciosa foi descoberta por uma empresa russa de cibersegurança, a Kaspersky Lab. A companhia divulgou nesta quarta-feira, 10, os resultados da investigação, bem como detalhes sobre a infraestrutura e os métodos de ataques da ameaça.
De acordo com a Kaspersky Lab, a “TajMahal” é uma ameaça persistente avançada (APT) e atuava com 80 módulos maliciosos e funcionalidades nunca vistas em APTs. Essas ameaças são redes sofisticadas e avançadas de ciberataques, usadas por hackers em campanhas longas e com alvos específicos.
Com o “TajMahal”, hackers são capazes de invadir e roubar cookies do navegador, coletar a lista de backup de aparelhos móveis da Apple, roubar dados de CDs, bem como documentos que estão na fila de uma impressora. Podem também solicitar o roubo de um arquivo em específico, visto anteriormente em pen drives, o que fará o malware roubar dados do dispositivo na próxima vez que for conectado à entrada USB de um computador.
“A infraestrutura TajMahal é uma descoberta muito interessante e intrigante. A sua sofisticação técnica é incontestável e inclui funcionalidades que nunca vimos em grupos especializados em APTs”, afirmou o especialista em lead malware da Kaspersky Lab, Alexey Shulmin.
As origens e autores da distribuição e infecção do “TajMahal” continuam desconhecidos. Shulmin informou que não foram encontradas “pistas que possamos seguir, nem quaisquer links que nos levam a grupos que criaram esta ameaças”.
Apesar da sofisticação da rede, ela parece estar desconectada de hackers conhecidos, informou a empresa. Além disso, a Kaspersky Lab identificou, até agora, uma única vítima do grupo de malware, uma embaixada na Ásia Central, que teve seus sistemas infectados em 2014.
Para a empresa, a infraestrutura da rede foi desenhada com a intenção de uma vasta ação de ciberespionagem. A análise do Kaspersky Lab mostrou que a plataforma foi desenvolvida e utilizada, pelo menos, durante os últimos cinco anos, sendo que a data da amostra mais antiga é de abril de 2013 e a mais recente de agosto de 2018.
Por isso, a descoberta de um único alvo é intrigante para Shulmin, que considera que ainda há muitas questões sem respostas. “Nos parece muito pouco provável que este investimento tenha apenas uma vítima como alvo. Isto sugere que há vítimas que ainda não foram identificadas ou que há versões atualizadas deste malware em ação– ou possivelmente ambas as opções”, ponderou.
“TajMahal” foi inspirado no arquivo de mesmo nome utilizado pelos hackers da rede para extrair a informação roubada. A empresa de segurança estima que a infraestrutura se divida em dois pacotes principais de ciberespionagem: “Tokyo” e “Yokohama”.
O primeiro é menor e ataca em cerca três módulos. Contém a funcionalidade principal de backdoor (método de ultrapassar acessos e autenticações não autorizados) e conecta-se periodicamente com os servidores de comando e controle. “Tokyo” aproveita o PowerShell – ferramenta do Windows e outros sistemas operacionais para a automação de tarefas e execução de scripts no sistema – e permanece na rede mesmo depois da invasão ter evoluído para o nível dois, o “Yokohama”.
Este é mais complexo: uma infraestrutura repleta de ferramentas de espionagem. Inclui um Sistema Virtual de Arquivos (VFS) com plugins, open source, bibliotecas de terceiros e arquivos de configuração. O pacote abrange cerca de 80 módulos que incluem carregadores, orquestradores, comunicadores de comando e controle, gravadores de áudio, keyloggers, grabbers de webcam e tela, documentos e ferramentas para roubar chaves de criptografia.
Os sistemas-alvo identificados pela Kaspersky Lab foram infectados tanto pelo “Tokyo” quanto pelo “Yokohama”. Segundo a empresa, isso sugere que o “Tokyo” foi utilizado no primeiro nível da infeção e, o “Yokohama”, inserido em ataques às vítimas em que os hackers tinham mais interesse e deixado no sistema para realizar backups.
Tags: