پژوهشگران امنیتی در Securonix یک Backdoor جدید برای سیستم‌عامل ویندوز به نام TASK#STOMP را شناسایی کرده‌اند. این بدافزار با هدف جاسوسی صنعتی طراحی شده و به‌طور خاص به دنبال استخراج اسناد تجاری، رمزهای ذخیره‌شده Wi-Fi و محتویات Clipboard قربانی است.
مکانیزم عفونت و تداوم حضور (Persistence)
عفونت با اجرای یک فایل VBScript که معمولاً از طریق ایمیل‌های فیشینگ (در قالب فایل‌های ZIP یا ISO/IMG) ارسال می‌شود، آغاز می‌گردد. این اسکریپت برای تضمین بقای خود در سیستم، پنج نقطه اتکا (Foothold) ایجاد می‌کند که شامل چهار Scheduled Task با نام‌های جعلی (مانند Network Audio Service) و یک کپی از خود در پوشه Startup است. فایل‌های بدافزار در پوشه‌ای به نام WinDefendSvc قرار می‌گیرند تا با خدمات Windows Defender اشتباه گرفته شوند.
تحلیل فنی و قابلیت‌ها
این بدافزار از دو ماژول PowerShell مخفی برای عملیات خود استفاده می‌کند:
- ماژول استخراج داده: این بخش با اولویت مشخصی (Word → PDF → PowerPoint → Excel) به دنبال اسناد می‌گردد و آن‌ها را به سرور مهاجم ارسال می‌کند.
- ماژول ارتباطی: ایجاد یک کانال ارتباطی دوم برای دریافت دستورات از C2 Server.
نکته قابل توجه این است که هر دو ماژول به‌گونه‌ای طراحی شده‌اند که در صورت متوقف شدن یکی، دیگری آن را مجدداً اجرا کند، هرچند پژوهشگران باگی در این منطق شناسایی کرده‌اند که مانع از اجرای کامل این قابلیت می‌شود.
ویژگی‌های عملیاتی و هدف‌گذاری
تحلیل TTPهای این بدافزار نشان می‌دهد که مهاجمان احتمالاً سازمان‌هایی را هدف قرار داده‌اند که با مناقصات و قراردادهای تجاری مرتبط با ایران سر و کار دارند، زیرا دامنه‌ای با تم IranTenders در جریان اجرای اسکریپت باز می‌شود. همچنین، مهاجم از تکنیک Anti-forensic برای تغییر تاریخ ایجاد فایل‌ها به ۱۵ ژانویه ۲۰۲۴ استفاده کرده تا تحلیلگران را در بازسازی Timeline حمله گمراه کند.
توصیه‌های امنیتی برای SOC و تیم‌های پاسخ به حادثه
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- مانیتورینگ: شناسایی ترافیک شبکه حاوی Authentication Tokenهای سخت‌افزاری (Hardcoded) مربوط به سرورهای فرماندهی.
- کنترل دسترسی: محدود کردن اجرای Windows Script Host برای کاربران عادی و مسدود کردن اجرای اسکریپت‌ها از پوشه‌های Desktop، Downloads و Temp.
- پاکسازی: پیش از حذف، از تمامی فایل‌ها و تعاریف Scheduled Taskها نسخه پشتیبان تهیه کنید. سپس در یک عملیات هماهنگ، تمامی تسک‌ها، فایل‌های Startup و فایل‌های Stage شده را حذف کرده و دامنه‌های C2 را مسدود نمایید.
