بک‌دور جدیدی تحت عنوان TASK#STOMP شناسایی شده است که با استفاده از ابزارهای داخلی سیستم‌عامل ویندوز، یک عملیات جاسوسی پایدار را ایجاد می‌کند. این بدافزار با بهره‌گیری از اسکریپت‌های Visual Basic (VBS)، دستورات مخفی PowerShell و زمان‌بندی وظایف (Scheduled Tasks)، اقدام به سرقت اسناد تجاری، رمزهای Wi-Fi، داده‌های کلیپ‌بورد و تصاویر صفحه نمایش (Screenshots) از سیستم‌های قربانی می‌کند.
مکانیزم عفونت و استقرار
عفونت با اجرای یک فایل VBS با نام تصادفی در مسیرهای قابل دسترسی کاربر آغاز می‌شود. اگرچه مسیر دقیق توزیع (مانند Phishing یا دانلودهای وب) هنوز تایید نشده است، اما این اسکریپت پس از اجرا، چندین روش برای بقا (Persistence) در سیستم ایجاد می‌کند تا در صورت ری‌استارت شدن سیستم یا پاکسازی جزئی، مجدداً فعال شود.
قابلیت‌های فنی و جمع‌آوری داده‌ها
ماژول اصلی این بک‌دور درایوهای سیستم را برای یافتن فایل‌های Word، PDF، PowerPoint، Excel و آرشیوها جستجو می‌کند. ویژگی‌های کلیدی این عملیات عبارتند از:
- فیلتر هوشمند: تمرکز بر اسنادی که در یک سال اخیر ایجاد یا تغییر یافته‌اند و نادیده گرفتن فایل‌های بزرگتر از 500 مگابایت.
- مانیتورینگ لحظه‌ای: استفاده از File Watcher برای شناسایی و سرقت فایل‌های جدید یا تغییر یافته.
- سرقت اعتبار: اجرای دستورات
netshبرای استخراج پروفایل‌های بی‌سیم و نمایش کلیدهای ذخیره شده به صورت Plain Text. - کنترل از راه دور: پذیرش دستورات از سرورهای C2 برای سرقت بیشتر داده‌ها یا نصب بدافزارهای تکمیلی.
تکنیک‌های پنهان‌سازی و بقا
TASK#STOMP برای دور زدن سیستم‌های امنیتی از روش‌های زیر استفاده می‌کند:
- استفاده از ابزارهای Native: اجرای
csc.exe(کامپایلر C#) از طریق PowerShell برای اجرای کدهای کامپایل شده در زمان اجرا (Runtime Compilation). - دور زدن TLS: ایجاد Helperهای C# برای پذیرش گواهینامه‌های TLS نامعتبر جهت برقراری ارتباط با سرورهای C2.
- تغییر Timestomp: تغییر تاریخ فایل‌ها به ۱۵ ژانویه ۲۰۲۴ برای گمراه کردن تحلیلگران.
- پنهان‌سازی ترافیک: استفاده از User-Agentهای مشابه مرورگر Chrome برای مخفی کردن ارتباطات شبکه.
توصیه‌های امنیتی برای تیم‌های SOC
مدیران امنیت و تحلیلگران باید بر روی رفتارهای زیر تمرکز کنند:
- بررسی پروسه‌های VBS یا Windows Script Host که اقدام به ایجاد Task در پوشه AppData می‌کنند.
- مانیتورینگ اجرای PowerShell با فلگ‌های
-WindowStyle Hiddenو-ExecutionPolicy Bypass. - تحلیل لاگ‌های PowerShell Script Block و رکوردهای AMSI برای شناسایی کدهای رمزگشایی شده.
نکته حیاتی: برای پاکسازی کامل، نباید تنها به حذف یک اسکریپت اکتفا کرد؛ زیرا اجزای مختلف این بدافزار می‌توانند یکدیگر را مجدداً بازیابی کنند. حذف تمامی Scheduled Tasks، ورودی‌های Startup و مسدودسازی دامین‌های C2 به صورت یکپارچه ضروری است.
