TASK#STOMP은 윈도우 PC에 몰래 숨어드는 백도어(악성 프로그램의 일종으로, 공격자가 피해자 시스템을 원격에서 마음대로 조종할 수 있는 통로) 악성코드입니다. 감염되면 Word, PDF, PowerPoint, Excel 등 업무 문서를 자동으로 수집해 공격자 서버로 전송하고, Wi-Fi 비밀번호·클립보드 내용·화면 캡처까지 훔쳐갑니다. 악성코드는 예약 작업 4개와 시작 프로그램 폴더 등 최소 5곳에 자신을 심어 두어, 하나를 지워도 나머지가 감염을 재건할 수 있습니다. 현재 공격자 신원은 확인되지 않았으나, 입찰·조달 관련 기업을 표적으로 삼는 정황이 포착됐습니다. 보안 담당자는 명령 서버 도메인·인증 토큰·파일 해시를 네트워크 로그 및 엔드포인트 보안 툴에서 즉시 탐색할 것을 권고받고 있습니다.
TASK#STOMP이라는 윈도우 백도어 악성코드가 발견됐다. 업무 문서(Word·PDF·PPT·Excel) 자동 수집 및 외부 전송, Wi-Fi 비밀번호·클립보드·스크린샷 탈취, 공격자 명령 실행 기능을 갖추고 있다.
기업 내부 문서 유출 및 지속적인 원격 통제가 가능하다. 예약 작업 4개와 시작 폴더 복사본 등 5개의 지속성 거점이 생성되어 불완전한 제거 시 감염이 재건된다.
VBScript 파일(주로 피싱 메일의 ZIP·ISO·IMG 첨부파일로 전달 추정)이 실행되면 WinDefendSvc 폴더에 파일을 숨기고 예약 작업·시작 폴더에 자신을 등록한다. 두 개의 PowerShell 모듈이 문서 탈취와 명령 채널을 각각 담당하며 서로를 감시·재시작한다.
Securonix가 악성코드 구조·IoC(침해지표)를 공개했다. 대응 절차는 ①파일·예약 작업 정의 저장 → ②실행 중인 스크립트 종료 → ③예약 작업·시작 폴더 복사본·스테이징 파일 일괄 제거 및 명령 서버 차단 → ④재부팅 후 재실행 여부 확인 순이다.
공개된 명령 서버 도메인과 하드코딩된 인증 토큰은 네트워크 로그에서 고신뢰도 탐지 지표로 활용할 수 있다. Windows Script Host가 바탕화면·다운로드·임시 폴더에서 실행될 때 경고·차단하고, 메일 게이트웨이에서 ISO·IMG·VBS 첨부파일을 격리 또는 차단해야 한다.
본문
연구원들이 TASK#STOMP를 분석했다. 이 윈도우 백도어는 피해자 드라이브에서 업무 문서를 수집해 공격자 서버로 업로드하고, 이후에도 상주하며 새로 생성되거나 수정된 문서를 계속 가로챈다. 동일한 악성코드는 저장된 Wi-Fi 비밀번호와 클립보드 내용을 훔치고, 스크린샷을 촬영하며, 운영자가 전송하는 모든 명령을 실행한다.
Securonix Threat Research의 Akshay Gaikwad와 Aaron Beardslee는 감염된 기기 한 대를 토대로 분석을 수행했기 때문에, 피해 조직 수는 확인되지 않는다고 밝혔다. 악성코드는 최소 5개의 거점을 생성한다 — 예약 작업 4개와 시작 폴더에 복사된 자기 자신이다. 연구원들은 그 중 하나만 제거할 경우 나머지가 감염을 재건할 수 있다고 경고한다.
관측된 프로세스 텔레메트리를 바탕으로 재구성한 TASK#STOMP 프로세스 흐름 (출처: Securonix)
다섯 가지 재침투 경로
감염은 사용자 바탕화면에 놓인 VBScript 파일(윈도우 스크립트)로 시작된다. 이 스크립트는 "Network Audio Service" 등 윈도우 구성 요소를 흉내 낸 이름으로 예약 작업 4개를 생성하고, 사용자가 로그인할 때마다 다시 실행되도록 시작 폴더에 자신을 복사한다. 관련 파일들은 윈도우 디펜더 서비스처럼 보이도록 WinDefendSvc라는 폴더에 저장된다.
바탕화면에서 스크립트를 삭제해도 시작 폴더의 복사본에는 아무런 영향이 없다.
탈취는 숨겨진 두 개의 PowerShell 모듈이 처리한다. 하나는 문서를 탐색하고, 다른 하나는 운영자와의 보조 통신 채널을 유지한다. 각 모듈은 상대방이 중단될 경우 재시작하도록 설계되어 있지만, Securonix는 두 모듈 모두에서 해당 감시 로직의 일부가 사실상 실행되지 않는 동일한 버그를 발견했다.
공격자 미확인
Securonix 위협 리서치 매니저인 Beardslee는 "샘플 코드, 인프라, TTPs(전술·기술·절차) 중 알려진 APT(지능형 지속 위협)의 기존 툴킷과 명확히 겹치는 부분이 없어 귀속 주장을 하지 않는다"고 밝혔다.
악성코드는 정해진 순서에 따라 파일 유형을 처리한다. 그는 Help Net Security에 "우리가 말할 수 있는 것은, 문서 유형 우선순위(Word → PDF → PowerPoint → Excel, 아카이브보다 앞순위)가 기회주의적 범죄 목적이 아닌 기업 문서 스파이 활동을 시사한다는 점"이라고 말했다.
해당 스크립트는 Chrome에서 웹 페이지도 열도록 되어 있다. Beardslee는 "'IranTenders' 테마 도메인을 여는 동작은 조달·입찰 관련 미끼와 일치하며, 운영자가 입찰·계약 또는 이란 관련 무역·조달을 다루는 조직을 표적으로 삼고 있을 수 있음을 시사한다 — 그러나 단일 미끼 도메인만으로 분야나 지역 표적을 확정하기에는 충분하지 않다"고 설명했다. Securonix는 IranTenders 사이트 자체를 악성으로 간주하지 않으며, 충분한 근거 없이 해당 도메인 전체를 차단하지 말 것을 권고한다. 권고문에는 명령 서버 도메인, 인증 토큰, 파일 해시가 목록으로 수록되어 있다. 조직은 네트워크 로그에서 도메인을, 엔드포인트 보안 툴에서 해시를, 암호화된 웹 트래픽을 검사하는 경우 프록시 로그에서 해당 토큰을 탐색할 수 있다.
캠페인 활동 기간
캠페인이 얼마나 오래 운영됐는지 묻는 질문에 Beardslee는 "악성코드가 자신의 파일 여러 개의 타임스탬프를 2024년 1월 15일로 위조한다 — 이는 파일 타임라인 분석을 오도하려는 안티포렌식 기법이며, 실제 캠페인이 언제 시작됐는지를 나타내는 근거가 아니다. 이 날짜를 토대로 시기를 추론하지 말 것을 당부한다"고 답했다. 그는 캠페인 시작 시점을 추정하려면 두 명령 서버 도메인의 등록·DNS 이력이나 다른 감염 기기 접근 같은 외부 데이터가 필요하다고 밝혔다.
스크립트 실행 전 차단
Beardslee는 "복구된 데이터만으로는 전달 경로를 직접 확인할 수 없었다"고 말했다. 그의 최선 추정치는 다음과 같다: "유사한 VBS 로더 캠페인이 일반적으로 전달되는 방식을 고려하면, 가장 가능성 높은 패턴은 ZIP 또는 ISO/IMG 첨부파일에 스크립트를 담은 피싱 이메일이다."
그는 Windows Script Host가 바탕화면·다운로드·임시 폴더에서 파일을 실행할 때 차단 또는 경고 설정, 일반 사용자의 Windows Script Host 실행 제한 또는 서명된 스크립트만 허용, 메일 게이트웨이에서 ISO·IMG·VBS 첨부파일 제거·샌드박스 처리·차단을 권고한다.
재사용 코드가 남긴 흔적
Beardslee는 "능숙하지만 최상급은 아닌 운영자"라고 평가했다. 그는 두 모듈이 서로를 감시하는 구조, 백업 서버 자동 전환 등을 들어 악성코드 설계가 상당히 정교하다고 인정했다. 그러나 두 모듈에는 보안 인증서 검사를 건너뛰는 코드가 거의 동일하게 들어 있고 같은 버그도 공유하고 있어, 별도로 구축·테스트된 것이 아니라 복사·붙여넣기로 만들어졌다는 강력한 신호라고 밝혔다. "그런 특성 — 재사용되거나 템플릿화된 코드베이스 위에 구축된 역량 있는 툴링, 엄격한 내부 검토 부재 — 은 성숙하고 규율 잡힌 APT보다 중간 수준 운영자에게 더 전형적이다"라고 말했다.
"정적으로 하드코딩된 인증 토큰은 내구성 있는 고신뢰도 네트워크 지표다 — 어떤 도메인으로든 해당 토큰 값을 정확히 담은 트래픽은 플래그를 세울 가치가 있으며, 피해자별 교체 없이 재사용되기 때문에 나중에 같은 운영자 또는 인프라로 미래 사고를 묶는 데 도움이 될 수 있다"고 그는 말했다.
연구원들은 대응 담당자에게 아무것도 건드리기 전에 악성코드 파일과 예약 작업 정의의 복사본을 분석용으로 저장할 것을 권고한다. 다음으로 실행 중인 스크립트를 중단한다. 그런 다음 악성코드가 생성한 모든 예약 작업, 시작 폴더 복사본, 스테이징된 파일을 한 번의 조율된 작업으로 제거하고 두 명령 서버를 차단한다. 재부팅 후 악성코드 스크립트가 다시 실행되지 않는지 확인해야 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
