پژوهشگران امنیت سایبری اخیراً جزئیات کمپین جدیدی به نام TASK#STOMP را افشا کردند. این عملیات از یک Backdoor مبتنی بر PowerShell استفاده می‌کند که هدف آن جمع‌آوری و استخراج داده‌های حساس از سیستم‌های قربانی است.
قابلیت‌های بدافزار و اهداف عملیاتی
این بدافزار به‌طور خودکار اسناد تجاری را شناسایی کرده و آن‌ها را استخراج می‌کند. همچنین، سیستم فایل (Filesystem) را به‌صورت Real-time برای شناسایی فایل‌های جدید رصد کرده و قادر است موارد زیر را سرقت کند:
- گذرعبارات Wi-Fi و محتویات Clipboard
- تصاویر صفحه نمایش (Screenshots)
- اجرای دستورات از راه دور (Arbitrary Remote Commands) از طریق دو سرور C2 با احراز هویت توکنی
زنجیره عفونت و مکانیسم‌های پایداری
عفونت با اجرای یک فایل VBScript کدگذاری شده توسط wscript.exe آغاز می‌شود. احتمال می‌رود این فایل از طریق Phishing یا مهندسی اجتماعی وارد سیستم شده باشد. برای دور زدن مکانیزم‌های شناسایی، نام فایل‌ها به‌صورت تصادفی انتخاب شده است.
این بدافزار برای ایجاد پایداری (Persistence) در سیستم، از Scheduled Tasks با نام‌های جعلی مانند Local Credential Manager و Network Audio Service استفاده می‌کند تا با فعالیت‌های عادی سیستم‌عامل ادغام شود. علاوه بر این، یک متد پشتیبان از طریق پوشه Startup ویندوز برای اجرای اسکریپت msdiag.vbs در هر بار ورود کاربر تعریف شده است.
تکنیک‌های ضد-تحلیل و عملیاتی
مهاجمان در این عملیات از تکنیک Timestomping (تغییر زمان‌بندی فایل‌ها) و اجرای مخفی (Hidden Execution) برای پیچیده کردن تحلیل‌های Forensic استفاده کرده‌اند. ساختار بدافزار به گونه‌ای است که دو ماژول PowerShell به‌صورت مجزا اجرا می‌شوند تا در صورت توقف یکی، دیگری همچنان فعال بماند. این دو ماژول یک رابطه Watchdog متقابل دارند و در صورت متوقف شدن هر یک، دیگری را مجدداً راه‌اندازی می‌کند.
تحلیل نهایی و ابزارهای مورد استفاده
در مراحل نهایی، اسکریپت VBScript مرورگر Chrome را باز کرده و کاربر را به وب‌سایتی هدایت می‌کند که پایگاه داده مناقصات دولتی را نمایش می‌دهد. همچنین یک فایل Batch به نام purge.bat برای پاک‌سازی ردپاهای فعالیت‌های مخرب اجرا می‌شود.
این عملیات نشان‌دهنده سوءاستفاده گسترده از ابزارهای بومی ویندوز مانند Windows Script Host، PowerShell و Task Scheduler است تا فعالیت‌های مخرب در میان تراکنش‌های اداری عادی سیستم گم شوند و وابستگی به فایل‌های اجرایی (Executable) سنتی کاهش یابد.
