بدافزار جدیدی با نام TASK#STOMP شناسایی شده است که با تمرکز بر سیستم‌عامل ویندوز، از ترکیبی از VBScript، PowerShell، وظایف زمان‌بندی شده (Scheduled Tasks) و کامپایل زمان‌بندی C# برای ایجاد تداوم (Persistence) در سیستم و سرقت مستمر اسناد تجاری استفاده می‌کند.
مکانیزم استقرار و تداوم
این بدافزار از یک VBScript به عنوان نصب‌کننده و کنترل‌کننده عملیاتی استفاده می‌کند. این اسکریپت یک دایرکتوری استیجینگ در مسیر %LOCALAPPDATA%WinDefendSvc ایجاد می‌کند تا خود را مشابه سرویس‌های رسمی Windows Defender جلوه دهد. سپس، چهار Task زمان‌بندی شده با نام‌های متقلبانه مانند «Local Credential Manager» و «Network Audio Service» ثبت می‌کند.
برای تضمین بقا، TASK#STOMP فایل msdiag.vbs را در پوشه Startup کاربر کپی می‌کند. این استراتژی دوگانه باعث می‌شود حتی در صورت حذف Taskهای زمان‌بندی شده، بدافزار از طریق Windows Script Host مجدداً اجرا شده و زیرساخت‌های خود را بازسازی کند.
تحلیل فنی عملیات
- اجرای PowerShell: بدافزار دو ماژول مخفی
sys_loader.ps1وwin_conn.ps1را با فلگ‌های-ExecutionPolicy Bypassو-WindowStyle Hiddenاجرا می‌کند. - تکنیک‌های ضد-تشخیص: این بدافزار پیش از اجرا، پروسه‌های فعال را بررسی کرده و نسخه‌های قدیمی خود را می‌بندد تا نسخه‌های پاک‌سازی شده را جایگزین کند. همچنین از رمزنگاری Base64 برای پنهان کردن کدها در فایل‌های
.datاستفاده می‌کند. - کامپایل در زمان اجرا (Runtime Compilation): یکی از ویژگی‌های برجسته این بدافزار، استفاده از
Add-Typeدر PowerShell برای کامپایل کد C# توسط کامپایلر رسمیcsc.exeاست. این کد کمکی، اعتبارسنجی گواهینامه‌های TLS را غیرفعال می‌کند تا ارتباط با سرورهای C2 حتی با گواهینامه‌های نامعتبر یا منقضی شده برقرار شود.
قابلیت‌های تخریبی و جاسوسی
هدف اصلی این بدافزار، شناسایی و سرقت فایل‌های Word، PDF، PowerPoint و Excel است. بدافزار فایل‌های جدید یا تغییر یافته را از طریق مانیتورینگ سیستم فایل رصد کرده و فایل‌های حجیم (بیش از ۵۰۰ مگابایت) را نادیده می‌گیرد.
علاوه بر سرقت اسناد، اپراتورها می‌توانند دستورات زیر را اجرا کنند:</n
- گرفتن اسکرین‌شات از صفحه نمایش اصلی.
- استخراج رمزهای عبور Wi-Fi با استفاده از
netsh. - دسترسی به محتویات Clipboard و پاک‌سازی آن.
- اجرای هرگونه دستور PowerShell دلخواه از طریق
Invoke-Expression.
توصیه‌های امنیتی برای تیم‌های SOC
متخصصان امنیت باید به جای تکیه بر اندیکاتورهای ایستا (IoCs)، بر تحلیل رفتار (Behavioral Analysis) تمرکز کنند. سیگنال‌های هشداردهنده عبارتند از:
– اجرای PowerShell مخفی از دایرکتوری AppData.
– زنجیره اجرای powershell.exe → csc.exe → cvtres.exe.
– فراخوانی‌های Add-Type برای غیرفعال کردن TLS.
– استفاده از دستور netsh wlan show profile key=clear توسط PowerShell.
