پژوهشگران Securonix جزئیات کمپین جدیدی از یک Backdoor در محیط ویندوز را منتشر کردند که تحت نام TASK#STOMP ردیابی می‌شود. این بدافزار با هدف سرقت اسناد تجاری و حفظ دسترسی از راه دور (Remote Access) در سیستم‌های قربانی طراحی شده است.
مکانیزم‌های پایداری و بقا در سیستم
این حمله با یک نصب‌کننده VBScript آغاز می‌شود که پوشه‌ای به نام WinDefendSvc (با نامی مشابه سرویس‌های رسمی ویندوز) در مسیر LocalAppData کاربر ایجاد می‌کند. برای تضمین بقا (Persistence)، این اسکریپت چهار Task زمان‌بندی شده (Scheduled Tasks) با نام‌های سیستمی ایجاد کرده و یک اسکریپت دیگر را در پوشه Startup ویندوز قرار می‌دهد.
این استراتژی باعث ایجاد Redundancy می‌شود؛ به گونه‌ای که اگر یکی از روش‌های اجرا حذف شود، سایر متدها می‌توانند عفونت سیستم را مجدداً بازیابی کنند. علاوه بر این، بدافزار از تکنیک Timestomping استفاده می‌کند تا با تغییر تاریخچه تغییرات فایل‌ها به ۱۵ ژانویه ۲۰۲۴، تحلیل‌های Timeline را گمراه کرده و فعالیت‌های خود را پنهان سازد.
عملکرد Payloadهای PowerShell و سرقت داده‌ها
بدافزار TASK#STOMP دو اسکریپت مخفی PowerShell به نام‌های sys_loader.ps1 و win_conn.ps1 را اجرا می‌کند. این اسکریپت‌ها Payloadهای کدگذاری شده در قالب Base64 را از فایل‌های diag_pack.dat و win_conn_cfg.dat استخراج کرده و مستقیماً در حافظه (In-Memory) اجرا می‌کنند.
- سرقت اسناد: Payload اصلی، درایوهای سیستم را برای یافتن فایل‌های Word، PDF، Spreadsheet، Presentation و آرشیوهای فشرده جستجو کرده و آن‌ها را به زیرساخت C2 مهاجم ارسال می‌کند.
- مانیتورینگ لحظه‌ای: این بدافزار به‌طور مداوم اسناد جدید یا تغییر یافته را رصد می‌کند.
- قابلیت‌های جانبی: استخراج رمزهای ذخیره شده Wi-Fi، دریافت Screenshot، دسترسی به Clipboard و اجرای دستورات دلخواه PowerShell.
دو شاخه PowerShell این بدافزار به‌گونه‌ای طراحی شده‌اند که یکدیگر را مانیتور کرده و در صورت توقف یکی از آن‌ها، دیگری را مجدداً فعال کنند.
چالش‌های شناسایی و تحلیل
استفاده از ابزارهای قانونی ویندوز (Living-off-the-Land) به جای فایل‌های اجرایی مستقل، شناسایی این بدافزار را دشوار کرده است. همچنین، این بدافزار در زمان اجرا یک Helper کوچک به زبان C# کامپایل می‌کند تا اعتبارسنجی گواهینامه‌های TLS را دور بزند (Bypass) و ارتباط با سرورهای C2 را حتی در صورت نامعتبر بودن گواهینامه‌ها برقرار کند.
دو دامنه C2 شناسایی شده عبارتند از: corecloudfileshare(.)xyz و attachmentsharingdrive(.)xyz. همچنین در حین نصب، صفحه‌ای از دامنه irantenders(.)com باز می‌شود که هدف دقیق آن هنوز مشخص نیست.
توصیه‌های امنیتی برای SOC و تیم‌های پاسخ به حادثه
برای شناسایی این تهدید، توصیه می‌شود به جای تکیه بر IoCهای تک‌بعدی، ترکیبی از رفتارهای مشکوک را رصد کنید:
- اجرای غیرمنتظره VBScript یا PowerShell از پوشه‌های قابل نوشتن توسط کاربر (User-writable folders).
- ایجاد Scheduled Taskهای جدید با نام‌های مشابه سرویس‌های سیستمی.
- فراخوانی کامپایلر .NET C# توسط PowerShell.
- بررسی لاگ‌های PowerShell Script Block Logging و تله‌متری AMSI.
