概述
'tajmahal'是卡巴斯基实验室在2018年秋季发现的一个以前未知且技术复杂的apt框架。这个完整的间谍框架由两个名为“东京”和“横滨”的包组成。它包括后门，加载器，协调器，c2通信器，录音机，键盘记录器，屏幕和网络摄像头抓取器，文档和加密密钥窃取程序，甚至是受害者机器的自己的文件索引器。我们发现其加密的虚拟文件系统中存储了多达80个恶意模块，这是我们见过的apt工具集中插件数量最多的插件之一。
为了突出其功能，TajMahal能够从受害者以及打印机队列中刻录的CD中窃取数据。它还可以请求从先前看到的USB记忆棒中窃取特定文件;下次USB连接到计算机时，文件将被盗。
TajMahal至少在过去五年中已经开发和使用。第一个已知的“合法”样本时间戳是从2013年8月开始，最后一个是从2018年4月开始。在受害者的机器上看到TajMahal样本的第一个确认日期是2014年8月。
技术细节
卡巴斯基发现了两种不同类型的TajMahal包，自称为东京和横滨。卡巴斯基实验室发现的受害者系统被两个软件包感染。这表明东京被用作第一阶段感染，东京在受害者系统布置了功能齐全的横滨，框架如下图所示：
根据这些受害者机器上的模块，确定了以下有趣的功能：
能够窃取发送到打印机队列的文档。
为受害者侦察收集的数据包括Apple移动设备的备份列表。
录制VoiceIP应用程序音频时拍摄屏幕截图。
偷了写CD图像。
能够在再次可用时窃取以前在可移动驱动器上看到的文件。
魔法映像企业网站管理系统下载技术上面应用了三层结构，AJAX框架，URL重写等基础的开发。并用了动软的代码生成器及数据访问类，加进了一些自己用到的小功能，算是整理了一些自己的操作类。系统设计上面说不出用什么模式，大体设计是后台分两级分类，设置好一级之后，再设置二级并选择栏目类型，如内容，列表，上传文件，新窗口等。这样就可以生成无限多个二级分类，也就是网站栏目。对于扩展性来说，如果有新的需求可以直接加一个栏目类型并新加功能操作
窃取Internet Explorer，Netscape Navigator，FireFox和RealNetworks cookie。
如果从前端文件或相关注册表值中删除，则在重新引导后将使用新名称和启动类型重新显示。
归属：
猜想一：俄罗斯
卡巴斯基目前只公开了一个受害者，中亚地区一个外交部门，在之前的报道中，APT28也开始针对中亚地区进行攻击活动。
猜想二：美国：
由地图可见，中亚地区毗邻俄罗斯，中国，该地区一直是美国极力拉拢的对象
而且该框架卡巴称为复杂的模块化框架，根据时间戳最早13年就编译，18年卡巴才首次发现，而美国的APT攻击通常也是隐秘且模块化，不易被发现，像Flame就是第一个被发现的复杂的模块化木马
