La puerta trasera para Windows TASK#STOMP roba contraseñas de Wi-Fi, capturas de pantalla y archivos de empresa

In­ves­ti­ga­do­res han exa­mi­na­do un có­di­go ma­li­cio­so para sis­te­mas Win­dows lla­ma­do TASK#STOMP, el cual busca do­cu­men­tos cor­po­ra­ti­vos en los dis­cos de las víc­ti­mas, los envía a ser­vi­do­res con­tro­la­dos por los ata­can­tes y mo­ni­to­rea de ma­ne­ra cons­tan­te la apa­ri­ción de ar­chi­vos nue­vos o mo­di­fi­ca­dos. Adi­cio­nal­men­te, esta ame­na­za re­co­pi­la con­tra­se­ñas de redes in­alám­bri­cas guar­da­das, cap­tu­ra texto del por­ta­pa­pe­les, toma imá­ge­nes de la pan­ta­lla y eje­cu­ta las ins­truc­cio­nes que en­víen los ope­ra­do­res.

El aná­li­sis ini­cial se logró a par­tir de una única compu­tado­ra com­pro­me­ti­da, por lo que se des­co­no­ce el al­can­ce total de las or­ga­ni­za­cio­nes afec­ta­das. El pro­ce­so de in­fec­ción ini­cia me­dian­te un ar­chi­vo de se­cuen­cia de co­man­dos de Win­dows ubi­ca­do en el es­cri­to­rio, el cual ge­ne­ra múl­ti­ples ta­reas pro­gra­ma­das que imi­tan com­po­nen­tes le­gí­ti­mos del sis­te­ma ope­ra­ti­vo y se du­pli­ca en la car­pe­ta de ini­cio para eje­cu­tar­se au­to­má­ti­ca­men­te al ini­ciar se­sión, em­plean­do una ubi­ca­ción con un nom­bre di­se­ña­do para pa­re­cer­se a un ser­vi­cio de se­gu­ri­dad ofi­cial. Dos mó­du­los in­de­pen­dien­tes se en­car­gan res­pec­ti­va­men­te de bus­car los do­cu­men­tos de in­te­rés y de man­te­ner un canal de co­mu­ni­ca­ción ac­ti­vo con los ata­can­tes.

Los in­di­cios su­gie­ren que se trata de una ac­ti­vi­dad de es­pio­na­je cor­po­ra­ti­vo en­fo­ca­da en do­cu­men­tos em­pre­sa­ria­les, de­bi­do al orden es­pe­cí­fi­co en que se prio­ri­zan los tipos de ar­chi­vos, y se ha de­tec­ta­do el uso de un do­mi­nio te­má­ti­co que po­dría re­la­cio­nar­se con sec­to­res co­mer­cia­les es­pe­cí­fi­cos, aun­que los ex­per­tos ad­vier­ten que se re­quie­re más in­for­ma­ción para con­fir­mar un ob­je­ti­vo sec­to­rial o re­gio­nal pre­ci­so. Asi­mis­mo, los crea­do­res al­te­ra­ron las fe­chas de los ar­chi­vos como téc­ni­ca para di­fi­cul­tar el aná­li­sis fo­ren­se, y el per­fil téc­ni­co del có­di­go apun­ta a un grupo de nivel medio que re­uti­li­za com­po­nen­tes en lugar de una or­ga­ni­za­ción avan­za­da o APT.