В 2026 году появилась вредоносная программа TASK#STOMP, которая использует только встроенные средства Windows. Она предназначена для длительного сбора корпоративных документов и удалённого управления заражённым компьютером. Злоумышленники не применяют классические исполняемые файлы. Вместо них работают сценарии Visual Basic, PowerShell и планировщик заданий. Такая тактика затрудняет обнаружение, поскольку действия вредоносной программы внешне напоминают работу системных администраторов. Угроза ориентирована на шпионаж, а не на мгновенное разрушение данных, что делает её особенно опасной для компаний, работающих с конфиденциальной информацией. По оценкам, она способна оставаться незамеченной в течение длительного времени. Угроза получила имя TASK#STOMP по названию одной из техник, используемых при закреплении в системе.
Описание
Заражение начинается с запуска сценария Visual Basic. Он может лежать в папке загрузок или на рабочем столе. Сценарий создаёт четыре задачи в планировщике Windows. Названия задач имитируют системные компоненты: службу управления учётными данными, сетевой аудиосервис, диспетчер отображения. В действительности эти задачи запускают вредоносный код. Планировщик позволяет вредоносной программе запускаться при входе пользователя в систему или по расписанию. Это обеспечивает автоматический перезапуск после перезагрузки. Дополнительно копия сценария помещает себя в папку автозагрузки пользователя. Так программа достигает двойного закрепления в системе. Если одну точку удалить, вторая восстановит работоспособность угрозы. Основные файлы лежат в папке, имя которой напоминает службу Windows Defender. Это ещё сильнее маскирует вредоносную активность под легитимные процессы.
По данным Securonix Threat Research, после установки угроза переходит к активной фазе. Она завершает ранее запущенные экземпляры своих модулей и заменяет их новыми. Пяти ключевым файлам программа присваивает одинаковую дату изменения - январь 2024 года. Это делает для того, чтобы сбить с толку следователей, которые ориентируются на время создания файлов. Затем программа запускает два скрытых модуля PowerShell. Каждый из них собирает небольшой вспомогательный код на языке C# прямо на заражённой машине. Встроенный компилятор .NET собирает этот код. Полученный код отключает проверку цифровых сертификатов. Это позволяет вредоносной программе связываться с управляющими серверами, даже если те используют самоподписанные или просроченные сертификаты. Это снижает заметность вредоносной активности для средств защиты.
Основной модуль отвечает за кражу документов. Он ищет файлы Word, PDF, презентации, таблицы и архивы на всех фиксированных дисках. Программа отбирает документы, созданные или изменённые за последний год. Размер файла не должен превышать 500 мегабайт. Программа отправляет найденные документы на сервер злоумышленников. Собранные данные передаются по защищённому каналу. Если передача прерывается, программа повторяет попытку. Файлы размером до 10 мегабайт передаются напрямую, более крупные сжимаются. После первичного сканирования программа включает постоянное наблюдение за файловой системой. Любой новый или изменённый документ немедленно копируется на сервер. Так вредоносная программа превращает себя в непрерывный агент сбора данных, а не в одноразовый похититель.
Вредоносная программа умеет собирать и другие данные. Она извлекает сохранённые пароли от Wi-Fi, читает содержимое буфера обмена и делает снимки экрана. Программа очищает буфер обмена после кражи, чтобы пользователь не заметил пропажу скопированного текста. Управляющих серверов два: основной и резервный. При сбое связи с одним программа автоматически переключается на другой. Для аутентификации служит постоянный токен. Программа маскирует запросы под трафик браузера Chrome. Для связи она использует стандартный веб-протокол, что позволяет трафику сливаться с обычным сетевым обменом. Токен представляет собой длинную строку символов, которая подтверждает право на доступ. Оба модуля следят друг за другом. Если один останавливается, второй перезапускает его. Это объясняет, почему вредоносная программа так устойчива к удалению отдельных процессов.
Оператор может отправить на заражённый компьютер любую команду. Программа поддерживает снимок экрана, сбор сведений о системе, извлечение паролей Wi-Fi, чтение буфера обмена. Любую другую команду она выполняет напрямую через PowerShell. Такая гибкость позволяет злоумышленнику не только красть документы, но и разворачивать дополнительное вредоносное ПО, похищать учётные данные или нарушать работу инфраструктуры. В ходе установки программа также открывает страницу в браузере Chrome. Её роль до конца не ясна. Она может отвлекать внимание пользователя или служить сигналом об успешном заражении. После запуска основных модулей программа запускает очищающий пакетный файл. Он выдерживает паузу и, вероятно, удаляет временные компоненты. Такая архитектура делает вредоносную программу похожей на легитимное средство удалённого администрирования. После очистки временных файлов система может выглядеть нормально, но закрепление остаётся.
Для защиты от подобных угроз важно следить за целостностью задач планировщика и содержимым папки автозагрузки. Следует ограничить права пользователей на запуск сценариев и компиляцию кода. Регулярное обновление систем и использование средств мониторинга поведения помогают выявить аномальную активность. Если заражение подтвердилось, недостаточно удалить одну задачу или файл. Нужно очистить все точки закрепления, заблокировать управляющие серверы и проверить систему после перезагрузки. Особое внимание стоит уделить корреляции событий, а не отдельным именам файлов или задач. Только комплексный подход исключает повторное появление TASK#STOMP.
Индикаторы компрометации
