TASK#STOMP: il backdoor Windows che ruba documenti aziendali e password Wi-Fi

TASK#STOMP: il backdoor Windows che ruba documenti aziendali e password Wi-Fi

Il malware TASK#STOMP, analizzato da Securonix Threat Research, rappresenta una seria minaccia per le reti aziendali. Questo backdoor Windows ruba documenti business, password Wi-Fi salvate e testo dalla clipboard, scatta screenshot e mantiene una presenza persistente nel sistema per continuare a esfiltrare dati.

Risposta Rapida

Cinque punti di ingresso nel sistema

L'infezione inizia con un file VBScript posizionato sul desktop dell'utente. Questo script crea quattro task pianificati con nomi che imitano componenti di Windows, come "Network Audio Service", e si copia nella cartella Startup per garantire l'esecuzione automatica al prossimo accesso. I file del malware risiedono in una cartella denominata WinDefendSvc, un nome che ricorda un servizio di Windows Defender.

L'eliminazione dello script dal desktop non rimuove la copia nella cartella Startup. Due moduli PowerShell nascosti gestiscono il furto dei dati: uno cerca documenti, l'altro mantiene una connessione con i server degli attaccanti. Entrambi i moduli sono progettati per riavviare il partner se uno dei due si arresta, anche se Securonix ha identificato un bug che lascia parte di questa logica inutilizzata.

Target specifici e tecnica di inganno temporale

Il malware apre una pagina web in Chrome con un dominio a tema IranTenders, suggerendo un possibile targeting di organizzazioni coinvolte in appalti, contratti o commercio/procurement legato all'Iran. Tuttavia, Securonix avverte che un singolo dominio di decoy non è sufficiente per confermare un targeting settoriale o regionale specifico.

Il malware backdata alcuni dei suoi file al 15 gennaio 2024 come tecnica anti-forense, un tentativo di fuorviare le analisi temporali. Securonix sottolinea che questa data è artificiale e non indica l'inizio reale della campagna.

Vettore di infezione e raccomandazioni

Securonix non è stato in grado di confermare il vettore di consegna del malware, ma stima che sia probabilmente un'email di phishing con un allegato ZIP, ISO o IMG contenente lo script VBS. Le raccomandazioni includono il blocco o l'allertamento quando Windows Script Host esegue file da cartelle come Desktop, Download o Temp, il restringimento di Windows Script Host per gli utenti standard e il blocco degli allegati ISO, IMG e VBS al gateway di posta.

Profilo degli attaccanti

Il malware presenta un design relativamente sofisticato, con due moduli che si monitorano a vicenda e la capacità di commutare automaticamente a un server di backup. Tuttavia, entrambi i moduli contengono codice quasi identico per saltare i controlli di certificazione di sicurezza e presentano lo stesso bug, indicando che il codice è stato copiato e incollato piuttosto che sviluppato e testato separatamente.

Questo profilo - strumenti capaci costruiti su una base di codice riutilizzata o templata, senza revisione interna rigorosa - è più tipico di un operatore di livello medio che di un APT maturo e disciplinato. Il token di autenticazione statico e hardcoded rappresenta un indicatore di rete durevole e ad alta confidenza che può aiutare a collegare futuri incidenti alla stessa operazione o infrastruttura.

Risposta agli incidenti

Gli esperti di Securonix raccomandano di salvare copie dei file del malware e delle definizioni dei task pianificati per l'analisi prima di intraprendere qualsiasi azione. Successivamente, è necessario arrestare gli script in esecuzione, rimuovere tutti i task pianificati creati dal malware, la copia nella cartella Startup e i file stadiati in un'unica operazione coordinata, e bloccare i due server di comando. Dopo il riavvio, è essenziale verificare che nessuno degli script del malware riprendano l'esecuzione.

Per approfondire le tecniche di threat intelligence basate sull'identità, è disponibile un eBook dedicato: Identity-First Threat Intelligence.

Implicazioni per la cyber insurance e la compliance

L'analisi di TASK#STOMP solleva importanti considerazioni per le aziende che valutano una polizza cyber risk. La capacità del malware di persistere nel sistema e di rubare documenti sensibili sottolinea l'importanza di un servizio MDR (Managed Detection and Response) per la rilevazione precoce di minacce simili. Le aziende colpite potrebbero affrontare costi significativi di breach remediation, rendendo cruciale una copertura adeguata.

Inoltre, la presenza di questo tipo di malware evidenzia la necessità di un adeguamento NIS2 e compliance DORA per le organizzazioni che operano in settori critici. Le normative richiedono misure di sicurezza avanzate e procedure di risposta agli incidenti robuste, che potrebbero aiutare a mitigare gli impatti di minacce come TASK#STOMP.

Protezione proattiva e gestione del rischio

Per le organizzazioni che cercano di rafforzare la loro postura di sicurezza, è fondamentale implementare un Security Information and Event Management (SIEM) per monitorare e analizzare gli eventi di sicurezza in tempo reale. Inoltre, un SOC as a Service può fornire un monitoraggio continuo e una risposta agli incidenti gestita da esperti.

La protezione contro minacce avanzate come TASK#STOMP richiede anche un approccio strutturato alla gestione delle identità e un'architettura zero trust. Queste misure possono aiutare a limitare l'accesso non autorizzato e a ridurre la superficie di attacco disponibile per gli aggressori.

Considerazioni finali

La scoperta di TASK#STOMP sottolinea la necessità di un approccio multistrato alla sicurezza informatica. Le organizzazioni devono investire in soluzioni avanzate di incident response e managed SOC per affrontare efficacemente le minacce emergenti. Inoltre, la conformità con le normative come NIS2 e DORA è essenziale per garantire la resilienza operativa e la protezione dei dati sensibili.