Ob ein Zusammenhang zwischen dem Upload und dem späteren Militäreinsatz besteht, ist nach Angaben von Kaspersky derzeit nicht bekannt. Das Sicherheitsunternehmen wies jedoch darauf hin, dass die Probe „in einer Zeit zunehmender öffentlicher Berichte über Schadsoftware-Aktivitäten gegen denselben Sektor und dieselbe Region" hochgeladen wurde — ein Hinweis darauf, dass der Angriff äußerst gezielt erfolgte.
Die Angriffskette beginnt mit einem Batch-Skript, das eine mehrstufige Abfolge zum Ablegen der Wiper-Komponente auslöst. Zunächst versucht es, den Windows-Dienst Interactive Services Detection (UI0Detect) zu stoppen, der Nutzer warnt, wenn ein im Hintergrund in Session 0 laufender Dienst eine grafische Oberfläche oder einen interaktiven Dialog anzeigen will. Da dieser Dienst aus modernen Windows-Versionen entfernt wurde, deutet sein Vorkommen darauf hin, dass das Skript auf Rechnern mit Versionen vor Windows 10 Version 1803 ausgelegt ist.
Anschließend prüft das Skript auf eine NETLOGON-Freigabe und greift auf eine entfernte XML-Datei zu. Danach sucht es im lokalen Verzeichnis („C:\lotus" beziehungsweise „%SystemDrive%\lotus") nach einer gleichnamigen Datei. Laut Kaspersky soll diese lokale Prüfung wahrscheinlich feststellen, ob der Rechner Teil einer Active-Directory-Domäne ist. Wird die entfernte Datei nicht gefunden, beendet sich das Skript; ist die NETLOGON-Freigabe zunächst nicht erreichbar, wartet es bis zu 20 Minuten — zufällig bemessen — und versucht es erneut. Unabhängig vom Ergebnis der lokalen Prüfung führt es ein zweites Batch-Skript aus.
Dieses zweite Skript zählt lokale Benutzerkonten auf, deaktiviert zwischengespeicherte Anmeldungen, meldet aktive Sitzungen ab, schaltet Netzwerkschnittstellen ab und führt den Befehl „diskpart clean all" aus, um alle erkannten logischen Laufwerke zu löschen. Zudem überschreibt es vorhandene Inhalte, indem es Ordner mit dem Werkzeug robocopy rekursiv spiegelt, und nutzt fsutil, um eine Datei anzulegen, die den gesamten freien Speicherplatz belegt und so eine Wiederherstellung erschwert.
Erst danach wird der eigentliche Lotus Wiper gestartet. Er löscht Wiederherstellungspunkte, überschreibt physische Sektoren mit Nullen, leert die Update Sequence Numbers (USN) der Datenträger-Journale und entfernt für jedes eingebundene Volume sämtliche Systemdateien.
Kaspersky rät Organisationen und Behörden, Änderungen an NETLOGON-Freigaben, mögliches Abgreifen von Zugangsdaten oder Rechteausweitung sowie den Einsatz nativer Windows-Werkzeuge wie fsutil, robocopy und diskpart für zerstörerische Aktionen zu überwachen. Da Teile der Dateien gezielt auf ältere Windows-Versionen abzielten, hätten die Angreifer die Umgebung wahrscheinlich gekannt und die Domäne bereits lange vor dem Angriff kompromittiert.