Windows正規機能に偽装するPowerShellバックドア「TASK#STOMP」が判明　文書やWi-Fi情報を窃取

要点

• セキュリティ企業Securonixが、PowerShellを悪用して機密情報を窃取する新攻撃キャンペーン「TASK#STOMP」の詳細を公開した。

• 感染端末から業務文書、Wi-Fiパスワード、クリップボードの内容などを収集し、画面撮影や遠隔コマンド実行を行う。

• Windowsの正規サービスを装ったタスク名やタイムスタンプ改ざん（タイムストンピング）を用い、検知を回避する。

• 2つのPowerShellプロセスが互いを監視・再起動し合う相互ウォッチドッグ構造と、冗長化されたC2サーバーにより高い生存性を備える。

• セキュリティ企業Securonixの研究者は2026年9月21日、Windows環境から機密データを収集・外部送信する新たなPowerShellバックドア攻撃キャンペーン「TASK#STOMP」を特定したと発表した。

• この攻撃は、OS標準のスクリプト実行機能やタスクスケジューラを悪用し、業務文書やWi-Fiの認証情報、クリップボードデータなどを継続的に盗み出すものだという。

• 調査にあたった研究チームは、多重の永続化やプロセスの相互監視など、管理者の点検やフォレンジック分析（事故原因究明のための調査）を妨害する高度な仕組みが組み込まれていると報告している。

初期侵入と正規サービスへの偽装工作

攻撃チェーンの起点となるのは、標的のデスクトップ上に配置された「95c9050t66.vbs」という難読化されたVBScriptファイルである。このファイルは、Windows標準のスクリプト実行エンジンである「wscript.exe」を介して実行される。
最初の侵入経路については特定されていないものの、フィッシングメールやソーシャルエンジニアリングが用いられた可能性が指摘されている。ファイル名にランダムな文字列が使われている点は、ファイル名ベースの検知をすり抜ける狙いがあったと推測される。

このVBScriptは全体の進行役（オーケストレーター）として機能し、端末上での永続化を構築する。
具体的には、Windowsのタスクスケジューラを用いて複数の定期実行タスクを登録する。その際、タスク名には「Local Credential Manager」「Network Audio Service」「Windows Display Manager」「Device Credential Handler」といった実在のシステム機能に酷似した名称が設定され、通常のOS動作に見せかける偽装が行われていた。

さらに、ファイルのタイムスタンプを改ざんする「タイムストンピング（timestomping）」や非表示での実行、ログの消去といった手法が併用されている。加えて、Windowsのスタートアップフォルダーに「msdiag.vbs」を配置し、ユーザーのログイン時にも起動するバックアップ経路を用意していた。起動時には以前のインスタンスを強制終了させ、アクティブなセッションを常に1つに保つ制御も組み込まれていた。

相互監視と冗長性を備えたバックドアモジュール

環境のセットアップが完了すると、マルウェアは画面上に表示されない2つのPowerShellコマンドを並行して実行する。

1つ目のモジュール「sys_loader.ps1」は、設定ファイル「diag_pack.dat」を復号し、主要な情報窃取と監視を開始する。システムのメタデータや業務ドキュメント、保存されたWi-Fiパスワード、クリップボードの内容を盗み出すほか、ファイルシステムの更新をリアルタイムで監視し、画面のスクリーンショット取得や任意のPowerShellコマンドを実行する。

2つ目のモジュール「win_conn.ps1」は、「win_conn_cfg.dat」を復号してセカンダリ（予備）のC2（指令・制御）チャネルを確立し、遠隔からのコマンド実行とデータ収集を担う。

Securonixによると、これら2つのモジュールは独立したプロセスとして動作しつつ、「相互ウォッチドッグ（相互監視）」の関係を形成しているという。「diag_pack.dat」が「win_conn.ps1」の稼働を監視して停止していれば再起動し、「win_conn.ps1」側も同様に相手のプロセスを監視・復旧させる仕組みとなっている。
通信先となるC2サーバーには「corecloudfileshare[.]xyz」と「attachmentsharingdrive[.]xyz」の2つが用意され、トークン認証を用いた通信が行われる。プロセスと通信経路の双方が二重化されているため、片方が検知・停止されても攻撃活動全体を維持できる設計となっている。

画面表示と痕跡消去の挙動

一連の処理の最終段階では、VBScriptがGoogle Chromeを最大化ウィンドウで起動し、イランの政府機関や地方自治体の入札・契約情報を扱うWebサイト「irantenders[.]com」の特定URLを表示する動作が確認された。このブラウザ操作が行われた具体的な意図は分かっていない。

また、2秒の待機時間を経て痕跡消去を行うとみられるバッチファイル「purge.bat」も呼び出されている。ただし、このバッチスクリプトの内容は復元されておらず、詳細な処理内容は判明していない。

SecuronixのリサーチャーであるAkshay Gaikwad氏とAaron Beardslee氏は、攻撃者がWindows Script Host、PowerShell、タスクスケジューラ、.NETツールチェーンを組み合わせ、正規の管理業務に悪意ある動作を紛れ込ませる手法を常套化させていると指摘した。
TASK#STOMPは、VBScriptによって複数の永続化ポイントを確保し、その後の機能をPowerShellや動的にコンパイルされたC#コードへ委譲することで、表面的な検査をすり抜けるフレームワークを構築していると説明されている。