آغاز زنجیره آلودگی در TASK#STOMP
زنجیره آلودگی در TASK#STOMP با اجرای یک اسکریپت ویژوال بیسیک کدگذاری‌شده (Visual Basic Script یا VBScript) از طریق wscript.exe آغاز می‌شود. این اسکریپت با نام تصادفی 95c9050t66.vbs روی دسکتاپ سیستم قربانی قرار می‌گیرد و اجرای مراحل بعدی آلودگی را بر عهده دارد.
مسیر دقیق دسترسی اولیه برای ورود پیلود به سیستم هنوز مشخص نشده است، اما احتمالاً مهاجمان از طریق فیشینگ ایمیلی یا مهندسی اجتماعی به سیستم قربانی دسترسی پیدا کرده باشند.
انتخاب نام کاملاً تصادفی برای فایل احتمالاً با هدف دور زدن سازوکارهای شناسایی مبتنی بر نام فایل انجام شده است. در ادامه، اسکریپت VBScript به‌عنوان هماهنگ‌کننده زنجیره آلودگی عمل می‌کند و با ایجاد تسک‌های زمان‌بندی‌شده (Scheduled Tasks)، تداوم فعالیت تهدید روی سیستم را تضمین کرده و مراحل بعدی حمله را پیش می‌برد.
در این مرحله، برای پنهان‌کردن فعالیت مخرب در میان فعالیت‌های عادی ویندوز، چند تسک زمان‌بندی‌شده با نام‌هایی مشابه کامپوننت‌های معتبر سیستم‌عامل، از جمله Local Credential Manager، Network Audio Service، Windows Display Manager و Device Credential Handler ایجاد می‌شوند. این نام‌گذاری باعث می‌شود تسک‌های مخرب در نگاه اول شبیه تسک‌های قانونی سیستم‌عامل به نظر برسند و احتمال جلب توجه کاربران یا ابزارهای امنیتی کاهش یابد.
روش‌های پشتیبان برای حفظ دسترسی
TASK#STOMP علاوه بر تسک‌های زمان‌بندی‌شده، یک سازوکار پشتیبان برای تداوم دسترسی نیز ایجاد می‌کند. اسکریپت نصب‌کننده VBScript از پوشه Startup ویندوز استفاده می‌کند تا پیلود اسکریپتی دیگری با نام msdiag.vbs را طوری تنظیم کند که با هر بار ورود کاربر به سیستم، به‌صورت خودکار اجرا شود.
در مرحله بعد، بدافزار با اجرای دستورات پاورشل، نمونه‌های قبلی در حال اجرا را به‌صورت اجباری متوقف می‌کند تا تنها یک نشست فعال باقی بماند. این روش، در کنار تغییر عمدی تایم‌استمپ فایل‌ها (Timestomping)، اجرای مخفی و قابلیت پاک‌سازی آثار فعالیت، نشان می‌دهد مهاجمان تلاش کرده‌اند فعالیت‌های مخرب را از دید ادمین‌ها پنهان نگه دارند و تحلیل فارنزیک (Forensic Analysis) را دشوارتر کنند.
استفاده از چند سازوکار برای تداوم دسترسی، یک لایه پشتیبان ایجاد می‌کند؛ به این ترتیب، اگر یکی از این روش‌ها با اختلال مواجه شود یا شناسایی و حذف شود، روش‌های دیگر همچنان امکان اجرای تهدید روی سیستم را فراهم می‌کنند.
اجرای ماژول‌های پاورشل و ایجاد ارتباط پشتیبان در TASK#STOMP
در مرحله بعد، TASK#STOMP دو دستور مخفی پاورشل را اجرا می‌کند که هرکدام نقش مستقلی در ادامه زنجیره حمله دارند:
- ps1 فایل diag_pack.dat را دیکٌد (Decode) می‌کند و پیلود مربوط به سرقت اسناد، مانیتورینگ و دسترسی از راه دور را فعال می‌سازد. این ماژول امکان جمع‌آوری اطلاعات سیستم، اسناد تجاری، رمزهای وای‌فای و محتوای کلیپ‌بورد، مانیتورینگ مستمر فایل‌های دارای تغییرات جدید، ثبت اسکرین‌شات از صفحه‌نمایش و اجرای دستورات دلخواه پاورشل را فراهم می‌کند.
- در مقابل، ps1 فایل win_conn_cfg.dat را دیکد کرده و یک کانال ارتباطی فرماندهی و کنترل (C2) ثانویه برای حفظ دسترسی ایجاد می‌کند. این کانال علاوه بر اجرای دستورات از راه دور، قابلیت جمع‌آوری داده را نیز دارد.
به گفته پژوهشگران Securonix، اجرای این دو ماژول در پردازه‌های جداگانه، عملکرد آن‌ها را از یکدیگر تفکیک کرده و یک مسیر پشتیبان برای ادامه فعالیت فراهم می‌کند؛ بنابراین، در صورت توقف یکی از ماژول‌ها، ماژول دیگر همچنان می‌تواند به فعالیت خود ادامه دهد.
هر دو ماژول با یک زیرساخت فرماندهی و کنترل (C2) مشترک ارتباط برقرار می‌کنند که شامل دامنه‌های corecloudfileshare[.]xyz و attachmentsharingdrive[.]xyz است.
نکته قابل توجه، وجود یک سازوکار واچ‌داگ متقابل (Mutual Watchdog) میان این دو ماژول است. در این سازوکار، diag_pack.dat به‌طور مستمر وضعیت اجرای win_conn.ps1 را بررسی کرده و در صورت توقف این ماژول، آن را مجدداً راه‌اندازی می‌کند. win_conn.ps1 نیز به همین صورت وضعیت diag_pack.dat را زیر نظر دارد و در صورت توقف، آن را دوباره اجرا می‌کند.
در نهایت، این زنجیره امکان جمع‌آوری مداوم اسناد، سرقت اطلاعات کاربری و محتوای کلیپ‌بورد، ثبت اسکرین‌شات، برقراری ارتباط با سرورهای فرماندهی و کنترل (C2) پشتیبان و اجرای کدهای دلخواه را فراهم می‌کند. مهاجمان نیز با استفاده از مجموعه‌ای از تکنیک‌ها تلاش می‌کنند فعالیت‌های مخرب خود را پنهان نگه دارند تا در میان فعالیت‌های عادی سیستم جلب توجه نکنند.
مرحله پایانی زنجیره آلودگی
در مرحله نهایی، اسکریپت VBScript که هماهنگ‌کننده زنجیره آلودگی است، گوگل کروم را به‌صورت تمام‌صفحه اجرا کرده و یک URL مشخص از دامنه irantenders[.]com را باز می‌کند. این وب‌سایت یک پایگاه داده قابل جست‌وجو از مناقصه‌ها و قراردادهای صادرشده توسط دستگاه‌های دولتی و نهادهای محلی ایران ارائه می‌دهد. هدف مهاجمان از باز کردن این صفحه برای کاربر مشخص نیست.
هم‌زمان، یک بچ اسکریپت (Batch Script) با نام purge.bat نیز اجرا می‌شود که پس از یک تأخیر دوثانیه‌ای، احتمالاً برای پاک‌سازی و حذف آثار فعالیت مخرب مورد استفاده قرار می‌گیرد. با این حال، محتوای این فایل بازیابی نشده است و عملکرد دقیق آن همچنان مشخص نیست.
به گفته پژوهشگران، مهاجمان سایبری معمولاً از میزبان اسکریپت ویندوز، پاورشل، زمان‌بندی تسک‌ها و ابزارهای .NET استفاده می‌کنند تا اجرای فعالیت‌های مخرب را در میان فعالیت‌های معمول و قانونی مدیریتی سیستم پنهان کنند.
TASK#STOMP نیز از همین رویکرد استفاده می‌کند و با بهره‌گیری از یک فریم‌ورک تحت کنترل VBS، چندین سازوکار تداوم دسترسی ایجاد کرده و قابلیت‌های مراحل بعدی را با استفاده از پاورشل و کدهای C# کامپایل‌شده به‌صورت پویا اجرا می‌کند.
این عملیات با تکیه بر کامپوننت‌های بومی ویندوز، وابستگی کمتری به پیلودهای اجرایی متداول دارد و همین موضوع تشخیص فعالیت‌های مخرب در میان فعالیت‌های عادی سیستم را دشوارتر می‌کند.
