En bakdør satt sammen av Windows-verktøy laster opp nye dokumenter fortløpende

Securonix Threat Research la 21. september 2026 fram en analyse av det de kaller TASK#STOMP, en bakdør til Windows som nesten utelukkende er satt sammen av verktøy som følger med operativsystemet. Kjeden begynner med et tilfeldig navngitt VBS-skript på skrivebordet til brukeren, og de øvrige filene legges under %LOCALAPPDATA%\WinDefendSvc, en mappe som er døpt slik at den ligner en Windows-tjeneste. Derfra registrerer skriptet fire planlagte oppgaver fra XML-definisjoner, legger en kopi av msdiag.vbs i oppstartsmappen til brukeren og starter to skjulte PowerShell-moduler. Securonix skriver at de ikke kan fastslå hvordan skriptet kom inn på maskinen, og at prosesstelemetrien ikke skiller mellom phishing, nedlasting i nettleseren, minnepinne, fjerntilgang og andre veier inn. Ingen aktør er navngitt, og rapporten oppgir verken bransjer eller land.

De fire oppgavene får navn som etterligner komponenter i Windows, og navnene skifter mellom kjøringene. Første gang het de blant annet Local Credential Manager og Network Audio Service, ved neste kjøring Network Session Agent og System Audio Controller, mens de samme fire XML-filene ble brukt om igjen. Skriptet setter i tillegg skrivetidspunktet på fem filer tilbake til 15. januar 2024 klokken 08.30. Det gjelder msdiag.vbs, diag_pack.dat, win_conn_cfg.dat, sys_loader.ps1 og win_conn.ps1. Datoen ligger mer enn to år før kjøringen Securonix observerte. Kopien i oppstartsmappen registrerer oppgavene på nytt, setter tidspunktene tilbake og starter begge PowerShell-grenene hver gang brukeren logger inn. Skriptet åpner også Chrome på én bestemt nettside, og Securonix presiserer at rollen til denne siden ikke er bekreftet.

Modulene leser hver sin Base64-kodede DAT-fil og kjører innholdet i minnet. Den ene søker gjennom alle faste disker etter dokumenter og arkiver med endelsene doc, docx, pdf, ppt, pptx, xls, xlsx, zip, rar og 7z, tar med det som er opprettet eller endret de siste 365 dagene, og prioriterer Word, PDF, PowerPoint og Excel foran arkivene. Når den første gjennomgangen er ferdig, settes en overvåker på hver disk, slik at nye og endrede filer lastes opp fortløpende. Begge modulene henter i tillegg skjermbilder, lagrede Wi-Fi-passord og innholdet i utklippstavlen, som tømmes etterpå, og begge kjører de kommandoene operatøren sender. Hver av dem kompilerer også en liten C#-klasse på maskinen gjennom csc.exe, og klassen slår av kontrollen av sertifikatet slik at forbindelsen går selv om tjeneren viser et ugyldig sertifikat. Trafikken går til corecloudfileshare.xyz med attachmentsharingdrive.xyz som reserve. Modulene skal etter oppsettet starte hverandre på nytt, men Securonix fant en kodefeil som gjør at den delen av rutinen normalt ikke kjører.

Hva det betyr for deg som drifter Windows-klientene

Her finnes det ingen oppdatering å installere. Hvert steg i kjeden kjøres av et program Microsoft selv har lagt på maskinen, og Windows Script Host, oppgaveplanleggeren, PowerShell og C#-kompilatoren gjør nøyaktig det de er laget for. Vår vurdering er at du må lete etter forløpet og ikke etter filnavnene, og der lander Securonix på det samme: det unormale er et skript som lager flere oppgaver fra XML i en mappe brukeren selv kan skrive til, skjult PowerShell fra samme mappe, og en kompilator som starter rett etterpå. Rydder du bare én av oppgavene, står de tre andre og kopien i oppstartsmappen igjen og bygger opp resten. Fellesveiledningen fra CISA og partnerne deres om angrep som bruker maskinens egne verktøy, publisert 7. februar 2024, peker på det samme underliggende problemet. Den skriver at mange virksomheter kjører med standardoppsettet for logging, og at et slikt oppsett ikke fanger opp sporene etter disse teknikkene detaljert nok til å skille dem fra vanlig IT-drift.

Dokumentjakten er verdt en tanke for seg. Bakdøren leter etter nøyaktig det en ansatt jobber med til daglig, og den fortsetter å laste opp nye filer så lenge den står. Har du hatt en slik maskin i nettverket i en uke, er spørsmålet ikke hva som lå der da innbruddet startet, men hva noen har lagret siden. Inneholder dokumentene personopplysninger, og det gjør de nesten alltid, har du også en vurdering av varslingsplikten å gjøre etter personvernforordningen. Lagrede Wi-Fi-passord tar angriperen et skritt videre: nettverket på hjemmekontoret og gjestenettet på kontoret ligger i samme liste.

Berigo anbefaler

• Slå på blokkvis logging av PowerShell-skript (hendelses-ID 4104) og samle loggene sentralt, slik at du faktisk kan lese hva et skjult skript gjorde.
• Varsle når wscript.exe eller cscript.exe starter schtasks.exe med /Create og /XML, og se særlig etter XML-filer under AppData, Temp, skrivebordet og nedlastingsmappen.
• Sett opp deteksjon på PowerShell som starter csc.exe, og på PowerShell som kjører en ps1-fil fra AppData med skjult vindu.
• Let etter flere filer i samme brukermappe som har fått identisk skrivetidspunkt langt tilbake i tid, og behandle funnet som mistenkelig.
• Behandle opprydding som én operasjon: stopp prosessene først, ta vare på XML-filene og mappen skriptene ligger i, fjern alle oppgavene, oppstartsfilen og de lagrede skriptene samtidig, og kontroller etter omstart at ingenting kommer tilbake.