TASK#STOMP แบ็กดอร์ PowerShell ขโมยเอกสาร รหัส Wi-Fi และข้อมูลคลิปบอร์ด — อำพรางเป็นบริการระบบ Windows

สรุปสั้น

นักวิจัยด้านความปลอดภัยเปิดเผยรายละเอียดของแคมเปญใหม่ที่ตั้งชื่อว่า TASK#STOMP ซึ่งปล่อยแบ็กดอร์ PowerShell ที่ออกแบบมาเพื่อกวาดข้อมูลอ่อนไหวจากเครื่องที่ถูกเจาะ โดยแบ็กดอร์นี้จะเก็บและส่งออกเอกสารธุรกิจโดยอัตโนมัติ เฝ้าดูระบบไฟล์เพื่อจับไฟล์ใหม่แบบเรียลไทม์ ขโมยรหัสผ่าน Wi-Fi และเนื้อหาในคลิปบอร์ด จับภาพหน้าจอ และรับคำสั่งจากระยะไกลผ่านเซิร์ฟเวอร์ควบคุม (C2) สองแห่งที่ยืนยันตัวตนด้วยโทเคนและทำงานสำรองซึ่งกันและกัน

จุดเริ่มต้นของห่วงโซ่การติดเชื้อคือการใช้ wscript.exe รันไฟล์ VBScript ที่ถูกเข้ารหัสและวางไว้บนเดสก์ท็อปของเหยื่อ นักวิจัยจากบริษัท Securonix คือนาย Akshay Gaikwad และนาย Aaron Beardslee ระบุว่ายังไม่ชัดเจนว่าใช้ช่องทางใดเข้าถึงเครื่องในตอนแรก แต่มีความเป็นไปได้ว่าอาจมาจากฟิชชิงทางอีเมลหรือวิศวกรรมสังคม โดยจุดเด่นของแคมเปญนี้คือการพึ่งพาองค์ประกอบดั้งเดิมของ Windows เกือบทั้งหมดเพื่อลดการใช้ไฟล์ปฏิบัติการและทำให้แต่ละเหตุการณ์แยกออกจากกิจกรรมปกติของระบบได้ยาก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กันยายน 2569 ว่า บริษัท Securonix ได้เปิดเผยรายละเอียดของแคมเปญ TASK#STOMP ที่ใช้แบ็กดอร์ PowerShell ขโมยข้อมูลจากเครื่องที่ถูกเจาะ

ไฟล์ VBScript ที่ถูกวางบนเดสก์ท็อป (ชื่อ “95c9050t66.vbs”) ถูกตั้งชื่อแบบสุ่มโดยสิ้นเชิง ซึ่งสงสัยว่ามีเจตนาหลบเลี่ยงกลไกตรวจจับที่อิงชื่อไฟล์ โดย VBScript ทำหน้าที่เป็นตัวควบคุม (orchestrator) เพื่อสร้างความคงอยู่บนเครื่องผ่าน scheduled task และเปิดใช้งานสเตจถัดไป

scheduled task เหล่านี้ถูกตั้งชื่อว่า Local Credential Manager, Network Audio Service, Windows Display Manager และ Device Credential Handler เพื่อกลมกลืนกับกิจกรรมปกติของระบบปฏิบัติการและไม่ก่อความสงสัย นอกจากนี้ตัวติดตั้งยังตั้งวิธีสร้างความคงอยู่สำรองโดยใช้โฟลเดอร์ Startup ของ Windows เพื่อรันสคริปต์อีกตัว (ชื่อ “msdiag.vbs”) ทุกครั้งที่ผู้ใช้ล็อกอิน

พฤติกรรมเหล่านี้ ควบคู่กับการดัดแปลงค่าเวลาไฟล์ (timestomping) การรันแบบซ่อน และการลบร่องรอย บ่งชี้ถึงความพยายามอย่างจงใจในการหลบการตรวจสอบของผู้ดูแลระบบและทำให้การวิเคราะห์ทางนิติวิทยาศาสตร์ซับซ้อนขึ้น ในสเตจสุดท้าย ตัวควบคุม VBScript ยังเปิด Google Chrome ในหน้าต่างขยายเต็มและเข้าถึง URL หนึ่งจาก “irantenders[.]com” ซึ่งเป็นฐานข้อมูลประกาศจัดซื้อจัดจ้างของหน่วยงานรัฐในอิหร่าน โดยยังไม่ทราบวัตถุประสงค์เบื้องหลังการกระทำนี้

วิธีการโจมตี

หลังจากตั้งความคงอยู่แล้ว มัลแวร์จะรันคำสั่ง PowerShell เพื่อบังคับปิดอินสแตนซ์ที่ทำงานอยู่ก่อนหน้าและให้มีเซสชันที่ทำงานเพียงหนึ่งเดียว จากนั้นจึงรันคำสั่ง PowerShell แบบซ่อนสองชุด ชุดแรกคือ sys_loader.ps1 ที่ถอดรหัส “diag_pack.dat” เพื่อเริ่มการขโมยเอกสาร การสอดแนม และการเข้าถึงระยะไกล เก็บข้อมูลเมทาดาทาของระบบ เอกสารธุรกิจ รหัสผ่าน Wi-Fi และเนื้อหาคลิปบอร์ด เฝ้าดูไฟล์ที่ถูกแก้ไขใหม่ จับภาพหน้าจอ และรันคำสั่ง PowerShell ตามอำเภอใจ ชุดที่สองคือ win_conn.ps1 ที่ถอดรหัส “win_conn_cfg.dat” เพื่อตั้งช่องทาง C2 สำรองที่คงอยู่ พร้อมความสามารถรันคำสั่งและเก็บข้อมูล

ทั้งสองโมดูลถูกรันเป็นโปรเซสแยกกัน เพื่อแยกหน้าที่และสร้างความซ้ำซ้อนเชิงปฏิบัติการ กล่าวคือหากสาขาหนึ่งล้มเหลวหรือถูกหยุด อีกสาขาจะไม่ถูกกำจัดไปทันที ทั้งคู่ติดต่อกับโครงสร้าง C2 เดียวกัน (“corecloudfileshare[.]xyz” หรือ “attachmentsharingdrive[.]xyz”) และมีความสัมพันธ์แบบ watchdog ซึ่งกันและกัน โดย “diag_pack.dat” จะตรวจว่า “win_conn.ps1” ยังทำงานอยู่หรือไม่ และรีสตาร์ตให้หากไม่ทำงาน และในทางกลับกันด้วย นอกจากนี้ยังมีการรันแบตช์สคริปต์ (“purge.bat”) ที่หน่วงเวลา 2 วินาทีและน่าจะทำการล้างร่องรอยกิจกรรมที่เป็นอันตราย แม้จะยังไม่สามารถกู้เนื้อหาของสคริปต์นี้กลับมาได้

ผลกระทบ

TASK#STOMP สะท้อนแนวทาง “living-off-the-land” ที่ผู้โจมตีใช้เครื่องมือดั้งเดิมของ Windows อย่าง Windows Script Host, PowerShell, Task Scheduler และ .NET toolchain เพื่อผสมการรันโค้ดที่เป็นอันตรายเข้ากับกิจกรรมบริหารระบบที่ถูกต้อง ทำให้เครื่องมือป้องกันปลายทางที่จ้องหาไฟล์ปฏิบัติการต้องสงสัยตรวจจับได้ยากขึ้น เมื่อแบ็กดอร์สามารถขโมยเอกสารธุรกิจ ข้อมูลรับรอง และคลิปบอร์ดได้อย่างต่อเนื่องพร้อมช่อง C2 สำรอง องค์กรที่ถูกเจาะจึงเสี่ยงต่อการรั่วไหลของข้อมูลระยะยาวโดยไม่รู้ตัว การพาดพิงถึงฐานข้อมูลจัดซื้อจัดจ้างของอิหร่านยังชี้ว่าแคมเปญนี้อาจมีเป้าหมายเชื่อมโยงกับภูมิภาคหรือภาคส่วนเฉพาะ

คำแนะนำ

ผู้ดูแลระบบควรเฝ้าระวังการสร้าง scheduled task ที่ใช้ชื่อเลียนแบบบริการระบบ การรัน wscript.exe/PowerShell แบบซ่อนจากโฟลเดอร์ผู้ใช้หรือ Startup และพฤติกรรม timestomping ที่ผิดปกติ ควรจำกัดหรือบันทึกการใช้งาน PowerShell ด้วย script block logging และ constrained language mode ตรวจสอบและบล็อกการเชื่อมต่อออกไปยังโดเมน C2 ที่ระบุ พร้อมให้ความรู้ผู้ใช้เรื่องฟิชชิงและไฟล์แนบ/สคริปต์ที่น่าสงสัย รวมถึงติดตั้ง EDR ที่ตรวจจับพฤติกรรม living-off-the-land ได้

Indicators of Compromise (IoCs)

หมายเหตุ: โดเมนถูก defang ด้วย [.] ให้ re-fang เฉพาะภายในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น

แหล่งอ้างอิง

• TASK#STOMP PowerShell Backdoor Steals Documents, Wi-Fi Passwords, and Clipboard Data — The Hacker News
• TASK#STOMP: PowerShell backdoor, document theft & remote access — Securonix