TASK#STOMP: backdoor na Windows zbiera dokumenty firmowe i hasła Wi-Fi

Securonix opisał TASK#STOMP, backdoora na Windows, który przeszukuje dyski ofiary w poszukiwaniu dokumentów firmowych, wysyła je na serwery napastnika i zostaje, żeby zabierać każdy nowy lub zmieniony plik. To samo oprogramowanie kradnie zapisane hasła Wi-Fi i zawartość schowka, robi zrzuty ekranu i wykonuje polecenia przysyłane przez operatorów. Infekcja zaczyna się od pliku VBScript na pulpicie użytkownika. Skrypt zakłada cztery zadania w Harmonogramie o nazwach udających składniki systemu, na przykład „Network Audio Service”, i kopiuje się do Autostartu. Pliki siedzą w folderze WinDefendSvc, nazwanym tak, by przypominał usługę Windows Defender. Kradzieżą zajmują się dwa ukryte moduły PowerShell: jeden szuka dokumentów, drugi utrzymuje drugi kanał do operatorów.

Kogo dotyczy

Użytkowników Windows. Akshay Gaikwad i Aaron Beardslee z Securonix Threat Research oparli analizę na jednej zarażonej maszynie, więc Securonix nie podaje, ile organizacji ucierpiało. Beardslee zaznaczył, że kod, infrastruktura i techniki nie pokrywają się z zestawem narzędzi znanej grupy APT, więc firma nie wskazuje sprawcy.

Co zrobić

Usunięcie samego skryptu z pulpitu nic nie daje, bo kopia w Autostarcie zostaje. Oprogramowanie zakłada co najmniej pięć punktów zaczepienia i skasowanie jednego pozwala pozostałym odbudować infekcję, więc trzeba usunąć wszystkie: cztery zadania w Harmonogramie, kopię w Autostarcie i folder WinDefendSvc.