TASK#STOMP: Backdoor PowerShell trên Windows đánh cắp dữ liệu
"Researchers disclosed TASK#STOMP, a Windows malware campaign that uses a VBScript orchestrator and PowerShell payloads to establish persistence, evade detection, and steal sensitive data from infected hosts. The backdoor harvests documents, Wi-Fi passwords, clipboard contents, screenshots, and system metadata, while also supporting arbitrary remote command execution through redundant token-authenticated C2 servers; no CVE was reported and the main mitigation is detection/removal of the malicious scripts, scheduled tasks, and C2 artifacts."
Rò rỉ dữ liệu nhạy cảm từ máy trạm, thực thi lệnh từ xa và cơ chế persistence dự phòng làm tăng rủi ro kiểm soát hệ thống kéo dài.
Gián đoạn vận hành do máy bị nhiễm, nguy cơ mất tài liệu nội bộ và tăng chi phí điều tra, cô lập, khôi phục.
Các nhà nghiên cứu an ninh đã công bố chiến dịch TASK#STOMP, một malware trên Windows sử dụng VBScript làm bộ điều phối và PowerShell để duy trì hiện diện, né phát hiện và thu thập dữ liệu nhạy cảm từ máy bị nhiễm.
Theo báo cáo, backdoor này có thể trích xuất tài liệu, mật khẩu Wi‑Fi, nội dung clipboard, chụp ảnh màn hình, theo dõi tệp mới tạo và thu thập metadata hệ thống. Ngoài ra, nó còn hỗ trợ thực thi lệnh từ xa thông qua hai máy chủ C2 có cơ chế xác thực bằng token và được cấu hình dự phòng.
Chuỗi lây nhiễm bắt đầu bằng wscript.exe chạy một tệp VBScript được mã hóa trên desktop. Tác nhân đe dọa đặt tên tác vụ giả mạo như Local Credential Manager hay Windows Display Manager để hòa lẫn với hoạt động hợp lệ của hệ điều hành. Mã độc cũng dùng Startup folder, sửa dấu thời gian (timestomping) và dọn dấu vết để gây khó khăn cho kiểm tra thủ công và phân tích pháp y.
Biện pháp giảm thiểu chính là phát hiện và gỡ bỏ các script độc hại, scheduled tasks bất thường, tệp khởi động và các C2 artifacts liên quan. Đội vận hành nên rà soát Windows Script Host, PowerShell logs, tác vụ theo lịch và lưu lượng ra ngoài bất thường để khoanh vùng sớm.