22/09/2026 · VietTechies · Biên tập
Các nhà nghiên cứu bảo mật tại Securonix đã công bố TASK#STOMP, chiến dịch mã độc sử dụng cửa hậu PowerShell để thu thập tài liệu doanh nghiệp, mật khẩu Wi-Fi, nội dung bảng tạm và ảnh chụp màn hình từ các hệ thống Windows bị xâm nhập. Mã độc còn có thể theo dõi tệp và thực thi lệnh từ xa qua hai kênh chỉ huy và kiểm soát (C2).
Chuỗi lây nhiễm dựa trên tập lệnh
Chuỗi tấn công được quan sát bắt đầu khi wscript.exe chạy một tệp VBScript đã mã hóa, được đặt trên màn hình nền. Hiện chưa rõ tệp này ban đầu tiếp cận nạn nhân bằng cách nào, dù Securonix cho rằng có thể liên quan đến lừa đảo qua mạng hoặc hình thức thao túng tâm lý khác. Tập lệnh tạo cơ chế duy trì hiện diện bằng các tác vụ theo lịch có tên giống dịch vụ Windows thông thường. Một VBScript thứ hai trong thư mục Startup đóng vai trò dự phòng và được kích hoạt khi người dùng đăng nhập.
Hai mô-đun duy trì cửa hậu
TASK#STOMP khởi chạy hai nhánh PowerShell ẩn. Nhánh thứ nhất kích hoạt chức năng đánh cắp tài liệu, thu thập thông tin hệ thống, lấy nội dung bảng tạm, chụp màn hình, theo dõi tệp và thực thi lệnh từ xa. Nhánh còn lại duy trì kết nối phụ với các khả năng thực thi lệnh và thu thập dữ liệu tương tự. Mỗi nhánh kiểm tra trạng thái của nhánh kia và khởi động lại nhánh đó khi cần, làm giảm khả năng việc chấm dứt một tiến trình có thể vô hiệu hóa hoàn toàn mã độc.
Cả hai mô-đun đều liên lạc với hạ tầng tại corecloudfileshare[.]xyz hoặc attachmentsharingdrive[.]xyz. Chiến dịch còn sử dụng kỹ thuật sửa dấu thời gian, thực thi ẩn và dọn dẹp dấu vết nhằm khiến hoạt động khó bị phát hiện hơn trong quá trình kiểm tra quản trị và phân tích pháp chứng.
Công cụ Windows sẵn có làm giảm khả năng phát hiện
Chiến dịch phụ thuộc nhiều vào Windows Script Host, PowerShell, Task Scheduler và mã C# được biên dịch động, thay vì các tệp thực thi độc lập thông thường. Theo Securonix, việc tận dụng những thành phần Windows hợp pháp này có thể khiến từng sự kiện độc hại khó phân biệt hơn với hoạt động quản trị thường ngày.
Những điểm chưa được làm rõ
Ở giai đoạn cuối, trình điều phối mở Google Chrome và truy cập một trang web của Iran chứa cơ sở dữ liệu có thể tìm kiếm về các gói thầu và hợp đồng chính phủ, nhưng các nhà nghiên cứu chưa xác định được mục đích. Một tệp lệnh hàng loạt mang tên purge.bat dường như cũng thực hiện việc dọn dẹp sau một khoảng trễ ngắn, song nội dung của tệp chưa được khôi phục. Báo cáo không xác định phương thức phát tán ban đầu, các tổ chức bị nhắm mục tiêu hay bên vận hành chiến dịch.
Ảnh minh họa do AI tạo.
Nguồn: TASK#STOMP PowerShell Backdoor Steals Documents, Wi-Fi Passwords, and Clipboard Data