TASK#STOMP PowerShell 백도어, 업무 문서·Wi-Fi 비밀번호·클립보드 데이터 탈취

한 줄 요약

'TASK#STOMP'라는 이름의 새로운 악성 캠페인이 발견되었습니다. 이 공격은 PowerShell 백도어(해커가 몰래 심어두는 원격 제어 프로그램)를 사용해 감염된 컴퓨터에서 업무 문서, Wi-Fi 비밀번호, 클립보드 내용, 화면 캡처 등 민감한 정보를 자동으로 빼내갑니다. 공격자는 VBScript 파일을 통해 감염을 시작하며, 예약 작업(Task Scheduler)과 시작 프로그램 폴더를 이용해 재부팅 후에도 악성코드가 계속 실행되도록 설정합니다. 또한 파일 타임스탬프 조작, Windows 기본 도구만 활용하는 방식으로 보안 솔루션과 관리자의 눈을 피하려 했습니다. 두 개의 C2(명령·제어) 서버를 운영해 하나가 차단돼도 공격이 지속될 수 있어 즉각적인 대응이 필요합니다.

사건

TASK#STOMP 캠페인은 PowerShell 백도어를 배포해 감염 호스트에서 업무 문서, Wi-Fi 자격증명, 클립보드 데이터, 스크린샷을 탈취하고 원격 명령 실행 기능을 제공한다. VBScript를 진입점으로 사용하며 이란 관련 URL을 열어 실제 의도를 위장하는 행동도 포함된다.

영향

감염 시 업무용 기밀 문서가 실시간으로 외부로 유출되고, Wi-Fi 비밀번호 및 클립보드에 복사된 모든 데이터(계정정보 포함)가 탈취된다. 공격자는 임의 명령 실행 권한도 확보하므로 추가 침해로 이어질 수 있다.

원인

Windows 기본 내장 도구(wscript.exe, PowerShell, Task Scheduler, .NET)만 사용하는 'Living off the Land' 기법으로 보안 솔루션 탐지를 우회한다. 두 개의 상호 감시(watchdog) 모듈 구조와 이중 C2 서버로 탄력적 운영이 가능하다.

대응

Securonix 연구원들이 상세 분석 보고서를 공개했다. C2 도메인 'corecloudfileshare[.]xyz' 및 'attachmentsharingdrive[.]xyz'를 차단하고, 비정상적인 예약 작업(Local Credential Manager, Network Audio Service 등 위장 이름)을 점검해야 한다.

실무 포인트

업무 PC에서 wscript.exe의 .vbs 실행, 예약 작업 신규 등록, PowerShell의 외부 도메인 통신을 모니터링해야 한다. 이름이 합법적 Windows 서비스처럼 보이는 예약 작업도 검토 대상이며, EDR(엔드포인트 탐지·대응) 솔루션에서 timestomping 탐지 규칙을 활성화할 것을 권고한다.

본문

Ravie Lakshmanan 2026년 9월 21일 | 엔드포인트 보안 / 악성코드

사이버보안 연구자들이 TASK#STOMP라는 이름의 새로운 캠페인 세부 내용을 공개했습니다. 이 캠페인은 감염된 호스트에서 민감한 데이터를 수집하도록 설계된 PowerShell 백도어를 배포합니다.

Securonix의 연구원 Akshay Gaikwad와 Aaron Beardslee는 The Hacker News와 공유한 보고서에서 이 백도어가 "업무 문서를 자동으로 수집·유출하고, 실시간으로 파일시스템의 신규 파일을 감시하며, Wi-Fi 비밀번호와 클립보드 내용을 훔치고, 스크린샷을 촬영하며, 토큰 인증 방식의 이중 C2(명령·제어) 서버를 통해 임의의 원격 명령을 수락한다"고 밝혔습니다.

감염 체인의 시작점은 피해자 바탕화면에 저장된 인코딩된 VBScript(비주얼 베이직 스크립트) 파일("95c9050t66.vbs")을 "wscript.exe"로 실행하는 것입니다. 페이로드를 전달하는 최초 접근 경로는 불분명하지만, 이메일 피싱이나 사회공학적 기법을 통했을 가능성이 있습니다.

파일명을 완전히 무작위로 지정한 것은 파일명 기반 탐지 메커니즘을 회피하려는 의도로 추정됩니다. VBScript는 예약 작업을 통해 호스트에 지속성을 확립하고 후속 단계를 실행하는 오케스트레이터 역할을 합니다.

예약 작업들은 일반 운영체제 활동과 섞여들어 의심을 피하기 위해 'Local Credential Manager', 'Network Audio Service', 'Windows Display Manager', 'Device Credential Handler'와 같은 이름으로 등록됩니다.

VBScript 인스톨러는 사용자가 시스템에 로그인할 때마다 다른 스크립트 페이로드("msdiag.vbs")를 실행하는 Windows 시작 폴더를 이용한 백업 지속성 방법도 설정합니다. 다음 단계에서 악성코드는 PowerShell 명령을 실행해 이전에 실행 중인 인스턴스를 강제 종료하고 하나의 활성 세션만 유지되도록 합니다.

이러한 전략들은 의도적인 타임스탬프 조작(timestomping), 숨김 실행, 정리 행동과 결합되어 표면적인 관리 검토를 우회하고 포렌식 분석을 복잡하게 만들려는 의도를 시사합니다. 이중 지속성 방법의 사용은 하나가 실패하거나 탐지·제거되더라도 지속적인 실행을 보장합니다.

다음 단계에서는 두 개의 숨겨진 PowerShell 명령이 실행됩니다.

sys_loader.ps1: "diag_pack.dat"를 디코딩하고 문서 탈취, 감시, 원격 접근을 시작합니다.
시스템 메타데이터, 업무 문서, Wi-Fi 비밀번호, 클립보드 내용을 탈취하고, 새로 수정된 파일을 모니터링하며, 스크린샷을 찍고, 임의의 PowerShell 명령을 실행하는 페이로드
win_conn.ps1: "win_conn_cfg.dat"를 디코딩하고 명령 실행 및 수집 기능을 갖춘 보조 지속성 C2 채널을 설정합니다.

Securonix는 "모듈을 별도의 프로세스로 실행하면 기능적 분리와 운영상의 이중화가 제공되어, 한 분기가 실패하거나 종료되더라도 다른 분기가 즉시 제거되지 않는다"고 설명했습니다.

두 모듈 모두 동일한 C2 인프라("corecloudfileshare[.]xyz" 또는 "attachmentsharingdrive[.]xyz")와 통신합니다. 흥미롭게도, 두 컴포넌트는 상호 감시(watchdog) 관계를 포함하여 "diag_pack.dat"가 "win_conn.ps1"의 실행 여부를 확인하고 실행 중이 아닐 경우 재시작하며, 반대의 경우도 마찬가지입니다.

이 공격의 최종 목적은 다양한 레이더 회피 기법을 활용하면서 지속적인 문서 수집, 자격증명 및 클립보드 탈취, 스크린샷 캡처, 이중 C2 통신, 임의 코드 실행을 위한 경로를 확보하는 것입니다.

마지막 단계에서 VBScript 오케스트레이터는 Google Chrome을 최대화 창으로 열고 "irantenders[.]com"의 특정 URL을 엽니다. 해당 사이트는 이란 정부 부처와 지방 당국이 발주한 모든 입찰 및 계약을 검색할 수 있는 데이터베이스를 호스팅합니다. 이 사용자 대면 웹 액션의 목적은 불분명합니다.

또한 2초 지연을 실행하고 악성 활동 흔적을 지우기 위한 정리 작업을 수행하는 것으로 추정되는 배치 스크립트("purge.bat")도 실행됩니다. 다만 해당 배치 스크립트의 내용이 복구되지 않아 정확히 무엇을 수행하는지는 알 수 없습니다.

연구자들은 "위협 행위자들은 악성 실행을 합법적인 관리 활동과 혼합하기 위해 Windows Script Host, PowerShell, Task Scheduler, .NET 툴체인을 일상적으로 악용한다"고 밝혔습니다.

"TASK#STOMP은 여러 지속성 앵커를 설치하고 후속 기능을 PowerShell 및 동적으로 컴파일된 C# 코드에 위임하는 VBS 제어 프레임워크를 통해 이러한 접근 방식을 보여줍니다. 거의 전적으로 Windows 기본 컴포넌트에만 의존함으로써 기존 실행 파일 페이로드에 대한 의존도를 줄이고 개별 이벤트를 정상적인 시스템 활동과 구별하기 더 어렵게 만듭니다."