Daha küçük olan Tokyo’da yaklaşık üç adet modül bulunuyor. Ana arka kapı işlevini içeren bu paket komut ve kontrol sunucularına belirli aralıklarla bağlanıyor. PowerShell’den yararlanan Tokyo, sızma işleminin ikinci aşamasında bile ağda kalmaya devam ediyor.
İkinci aşama ise Yokohama adlı tam donanımlı casusluk paketiyle gerçekleşiyor. Yokohama’da tüm eklentilere sahip bir Sanal Dosya Sistemi (VFS), açık kaynaklı ve özel üçüncü taraf kütüphaneleri ve yapılandırma dosyaları bulunuyor. Paketteki yaklaşık 80 modül arasında yükleme ve yönetim araçları, komut ve kontrol iletişimini sağlayan araçlar, ses ve tuş kaydediciler, ekran ve web kamerası görüntülerini saklayan araçlar, belge ve şifre anahtarı hırsızları yer alıyor.
TajMahal ayrıca tarayıcı çerezlerini de çalabiliyor, Apple mobil cihazları için yedek listeyi toplayabiliyor, CD’ye yazılan verileri ve yazıcı sırasında bekleyen belgeleri alabiliyor. Bir USB bellekten bakılan herhangi bir dosyanın çalınmasını da talep edebiliyor. USB bellek tekrar takıldığında dosya alınıyor. Kaspersky Lab’ın tespit ettiği hedeflerde hem Tokyo hem de Yokohama’nın bulunduğu görüldü. Bu da Tokyo’nun ilk aşamada kullanılarak ilgili hedeflere tam fonksiyonlu Yokohama’yı kurduğunu, ardından yedekleme amacıyla ayrıldığını gösteriyor.
Şimdiye kadar gözlemlenen tek kurban Orta Asya’dan yabancı bir diplomatik kurum oldu. Bu kuruma 2014’te sızıldığı belirlendi. TajMahal’in dağıtım ve bulaşma vektörleri henüz bilinmiyor.
-Kaspersky Lab'den öneriler
"Kaspersky Anti Targeted Attack Platform (KATA) gibi gelişmiş güvenlik araçları kullanın ve güvenlik ekibinizin en güncel siber tehdit istihbaratına erişmesini sağlayın. Kurumunuzda kullandığınız tüm yazılımları düzenli bir şekilde güncellediğinizden emin olun. Yeni bir güvenlik yaması yayınlandığında bunu hemen kurun. Açık Değerlendirme ve Yama Yönetimi özelliklerine sahip güvenlik çözümleri, bu işlemleri otomatik hale getirmenize yardımcı olur. Açıklar da dahil olmak üzere bilinen ve bilinmeyen tehditlere karşı etkili koruma için davranış tabanlı tespit özellikleriyle donatılan, Kaspersky Endpoint Security gibi başarısı kanıtlanmış bir güvenlik çözümünü tercih edin. Ekibinizin temel siber güvenlik önlemlerini almasını sağlayın. Çoğu hedefli saldırıların kimlik avı veya diğer sosyal mühendislik yöntemleriyle başladığını unutmayın."
TajMahal APT platformu hakkındaki rapor Securelist sayfasında bulabiliyor.