Nach Darstellung von Malwarebytes beginnt die Infektionskette mit einem ZIP-Archiv, das eine vermeintliche Pro-Version von Claude verspricht. Der enthaltene MSI-Installer bildet den echten Installationsablauf von Anthropic nach und installiert tatsächlich die reguläre Claude-Anwendung – ein Tarnmanöver, das beim Opfer keinen Verdacht wecken soll.
Erst wenn der Nutzer die Anwendung über die bei der Installation angelegte Desktop-Verknüpfung startet, wird ein VBScript-Dropper aktiv. Dieser führt die echte App im Vordergrund aus, während er im Hintergrund die Schadsoftware platziert. Der Dropper legt drei Dateien im Autostart-Ordner ab, darunter NOVUpdate.exe – ein signiertes Update-Programm des Virenschutzherstellers G DATA, das für DLL-Sideloading missbraucht wird, um eine PlugX-Variante auszuführen.
PlugX ist ein bekannter Fernzugriffstrojaner (RAT), der seit nahezu einem Jahrzehnt in verschiedenen Spionagekampagnen eingesetzt wird. Wenige Sekunden nach dem Ablegen baut NOVUpdate.exe eine TCP-Verbindung zu seiner Steuerungsinfrastruktur (Command-and-Control) auf, die bei Alibaba Cloud gehostet ist.
Parallel schreibt das ursprüngliche VBScript eine Batch-Datei, die das Skript und sich selbst löscht und so Spuren der Infektion beseitigt. Übrig bleiben auf dem befallenen System lediglich die Sideloading-Dateien im Autostart-Ordner und der Prozess NOVUpdate.exe.
Laut Malwarebytes umschließt das Skript zudem den gesamten schädlichen Abschnitt mit einer Anweisung, die im Fehlerfall einfach mit der nächsten Zeile fortfährt: Auf diese Weise werden Fehler stillschweigend unterdrückt, sodass beim Scheitern der Ausführung keine sichtbaren Fehlermeldungen erscheinen, die das Opfer warnen könnten.
Dieselbe Infektionskette beobachtete Malwarebytes bereits in diesem Jahr in einer Phishing-Kampagne, die mit gefälschten Besprechungseinladungen arbeitete, um Empfänger mit PlugX zu infizieren.
Eine eindeutige Zuordnung der Täter ist schwierig. PlugX wurde zwar historisch mit chinesischen Spionagegruppen in Verbindung gebracht, doch der Quellcode wurde unter verschiedenen Akteuren geteilt, was die Attribution erschwert. Klar sei laut Malwarebytes lediglich, dass die Betreiber dieser Kampagne eine bewährte Sideloading-Technik mit einem zeitgemäßen Social-Engineering-Köder kombiniert hätten – sie nutzten die wachsende Beliebtheit von KI-Werkzeugen aus, um Nutzer zur Ausführung eines trojanisierten Installers zu verleiten.