Descubierta una nueva campaña de ciberespionaje diseñada para el robo masivo de documentos y credenciales
Investigadores de ciberseguridad han revelado detalles sobre una nueva y alarmante campaña denominada TASK#STOMP. Esta operación distribuye una puerta trasera (backdoor) basada en PowerShell, diseñada meticulosamente para infiltrarse en sistemas corporativos y extraer información crítica sin ser detectada.
¿Qué es TASK#STOMP y cómo opera?
El malware TASK#STOMP destaca por su capacidad para automatizar el robo de datos sensibles. Según los informes de Securonix, esta amenaza no solo recolecta documentos de negocios, sino que también monitoriza el sistema de archivos en tiempo real para detectar nuevos archivos, roba contraseñas de redes Wi-Fi, captura el contenido del portapapeles y realiza capturas de pantalla de forma periódica.
La cadena de infección comienza habitualmente con la ejecución de un archivo VBScript codificado (posiblemente distribuido a través de técnicas de phishing o ingeniería social). Este script actúa como un orquestador que prepara el terreno para las etapas posteriores del ataque.
Técnicas de evasión y persistencia
Uno de los aspectos más preocupantes para los responsables de seguridad es la capacidad de TASK#STOMP para pasar desapercibido. El malware utiliza varias estrategias avanzadas:
- Mimetismo con el sistema: Crea tareas programadas con nombres legítimos como «Local Credential Manager» o «Network Audio Service» para evitar levantar sospechas durante una revisión administrativa superficial.
- Timestomping: Modifica deliberadamente las marcas de tiempo de sus archivos para complicar el análisis forense tras un incidente.
- Redundancia operativa: Utiliza dos servidores de comando y control (C2) diferentes y múltiples métodos de persistencia. Si uno es detectado y eliminado, el otro puede reactivar la infección.
- Uso de herramientas nativas: Al basarse casi exclusivamente en componentes legítimos de Windows (PowerShell, WScript, Programador de Tareas), el ataque se confunde con la actividad normal de administración del sistema.
Impacto para las organizaciones
A diferencia de los ataques de ransomware que buscan una interrupción inmediata para exigir un rescate, TASK#STOMP está diseñado para el espionaje y la exfiltración silenciosa. Un host comprometido puede estar enviando documentos estratégicos, planos, contratos y credenciales de acceso a servidores externos durante meses sin que la organización lo note.
Curiosamente, en la fase final del ataque, el malware abre una ventana de Google Chrome con una URL relacionada con licitaciones gubernamentales en Irán, aunque el propósito exacto de esta acción aún está bajo investigación.
Recomendaciones de seguridad
Desde el punto de vista de la gestión de riesgos y la ciberseguridad, es fundamental que las empresas refuercen sus controles:
- Monitorización de PowerShell: Implementar el registro detallado (Script Block Logging) para detectar comandos inusuales u ofuscados.
- Soluciones EDR/XDR: Utilizar herramientas de detección y respuesta en los puntos finales que puedan identificar comportamientos anómalos, más allá de las firmas de archivos tradicionales.
- Formación en Ingeniería Social: Capacitar a los empleados para identificar correos electrónicos sospechosos que puedan ser el vector de entrada de estos scripts.
- Revisión de Tareas Programadas: Auditar periódicamente las tareas automáticas en los sistemas críticos para identificar nombres o rutas de ejecución inusuales.
En Intedya, recordamos que la ciberseguridad no es solo una cuestión técnica, sino un pilar fundamental de la continuidad de negocio y la protección de los activos intangibles de cualquier organización.
Fuentes
- The Hacker News — TASK#STOMP PowerShell Backdoor Steals Documents, Wi-Fi Passwords, and Clipboard Data
https://thehackernews.com/2026/09/taskstomp-powershell-backdoor-steals.html