Se ha analizado TASK#STOMP, un nuevo backdoor para Windows que transforma herramientas integradas del sistema en una operación de espionaje persistente. Este malware utiliza instaladores VBS, PowerShell oculto y tareas programadas para robar documentos empresariales, contraseñas de Wi-Fi, datos del portapapeles y capturas de pantalla de los equipos infectados.

TASK#STOMP es un backdoor de Windows recientemente analizado que convierte herramientas integradas ordinarias en una operación de espionaje duradera.

Utiliza un instalador de Visual Basic Script, PowerShell oculto, tareas programadas y compilación de código en tiempo de ejecución para recopilar documentos comerciales, contraseñas de Wi-Fi guardadas, datos del portapapeles y capturas de pantalla de las máquinas comprometidas.

La infección observada comienza con un archivo VBS con un nombre aleatorio en una ubicación accesible para el usuario. Su ruta de entrega sigue sin confirmarse: la evidencia disponible no puede distinguir entre phishing, una descarga del navegador, medios extraíbles, acceso remoto o un archivo extraído. Una vez lanzado, el script crea varias formas de sobrevivir a un reinicio o a una limpieza parcial.

Securonix señaló en un informe que sus analistas decodificaron las cargas útiles finales e identificaron a TASK#STOMP como un backdoor de PowerShell totalmente funcional.

La investigación muestra que la operación está diseñada para la recopilación continua y el control remoto, en lugar de un ataque inmediatamente destructivo.

Esa combinación aumenta el riesgo para las organizaciones que poseen archivos sensibles. Los atacantes pueden buscar en cada unidad fija documentos y archivos recientes, y luego seguir vigilando si hay archivos nuevos o modificados.

El backdoor también acepta comandos de sus operadores, dejando la computadora infectada abierta a más robos, malware adicional o acciones disruptivas. También recopila detalles del sistema y de la red para el registro.

Nuevo Backdoor TASK#STOMP utiliza PowerShell

El módulo principal busca en las unidades fijas archivos de Word, PDF, PowerPoint, Excel y archivos comprimidos. Prioriza los documentos creados o modificados durante el último año, omite los archivos mayores de 500 MB y sube el material seleccionado a sus servidores de comando.

Luego, un observador de archivos monitorea las unidades para que los cambios posteriores también puedan ser capturados. También ejecuta comandos netsh de Windows para listar los perfiles inalámbricos almacenados y exponer sus claves guardadas en texto plano.

El contenido del portapapeles es copiado, enviado y borrado, mientras que se pueden capturar capturas de pantalla de la pantalla principal bajo comando. Estas funciones convierten a TASK#STOMP en una herramienta amplia de recopilación de datos, similar al comportamiento de recolección de credenciales discutido en las campañas de robo de credenciales de Wi-Fi.

Dos ramas separadas de PowerShell dividen la carga de trabajo. Una decodifica la carga útil de robo de documentos, mientras que la otra mantiene un segundo canal de comando con capacidades superpuestas.

Pueden reiniciarse el uno al otro, y sus servidores conmutan si una conexión falla, ayudando al operador a mantener el acceso cuando un proceso o ruta de red se interrumpe. El malware oculta su tráfico de red detrás de un agente de usuario similar a Chrome y compila pequeños ayudantes en C# dentro de PowerShell.

Esos ayudantes aceptan certificados TLS inválidos, lo que puede permitir que el backdoor llegue a sus servidores incluso cuando las comprobaciones de certificados normalmente detendrían la conexión. La actividad se asemeja a otros casos donde scripts de PowerShell entregan backdoors a través de componentes nativos de Windows.

Persistencia y Prioridades de Respuesta

TASK#STOMP establece cuatro tareas programadas a partir de archivos XML almacenados en una carpeta AppData escribible por el usuario, luego deposita msdiag.vbs en la carpeta de Inicio (Startup).

Las tareas utilizan nombres rotativos que se asemejan a los servicios de Windows, lo que hace que una revisión rápida sea menos confiable. Esta técnica refleja estrechamente el abuso cubierto en las técnicas de persistencia de tareas de Windows, donde las funciones de programación confiables se convierten en un punto de apoyo a largo plazo.

Antes de relanzar sus módulos, el script finaliza instancias anteriores, cambia varias marcas de tiempo de archivos al 15 de enero de 2024 y arranca PowerShell con configuraciones de ventana oculta y omisión de política de ejecución.

Ambos procesos de PowerShell lanzan entonces el compilador legítimo de C#, csc.exe. Esta secuencia completa es mucho más útil para los defensores que un solo nombre de archivo o nombre de tarea por sí solo.

Los equipos de seguridad deben investigar los procesos de VBS o de Windows Script Host que crean tareas desde AppData, especialmente cuando van seguidos de PowerShell oculto y actividad del compilador.

El registro de bloques de scripts de PowerShell, los registros de AMSI, los registros del Programador de Tareas y los eventos de archivos del endpoint pueden preservar los comandos y archivos temporales necesarios para reconstruir la cadena.

Actividades comparables de persistencia de PowerShell oculto también han demostrado por qué el mal uso de herramientas nativas necesita detección conductual. La contención debe ser coordinada.

Los equipos deben preservar los XML de las tareas y los archivos preparados, detener los procesos activos de VBS y PowerShell, eliminar cada tarea programada y entrada de Inicio, bloquear la infraestructura confirmada y reiniciar para confirmar que nada regrese. Eliminar solo un script o tarea puede permitir que los componentes restantes reconstruyan la infección.