Kaspersky verzichtete auf eine konkrete Zuschreibung, verwies aber auf die „geopolitischen Spannungen, die Ende 2025 und Anfang 2026 in der Karibikregion auftraten". Einigen Berichten zufolge sollen bei der Verbringung des venezolanischen Präsidenten Nicolás Maduro durch die Vereinigten Staaten Anfang Januar 2026 Cyberangriffe eine Rolle gespielt haben, die Stromausfälle auslösten und Luftabwehrradare außer Gefecht setzten.
Die Ausführungskette von Lotus Wiper beginnt mit einem Batch-Skript, das den älteren Windows-Dienst Interactive Services Detection (UI0Detect) zu beenden versucht. So sollen sichtbare Warnungen unterdrückt werden, die auf die schädliche Aktivität im Hintergrund hinweisen könnten. Das Skript scheint für ältere Windows-Versionen ausgelegt zu sein, die UI0Detect noch ausführen – der Dienst wurde mit Windows 10 Version 1803 offiziell aus dem Betriebssystem entfernt.
Zusätzlich prüft das Skript, ob eine bestimmte Datei auf einer NETLOGON-Freigabe vorhanden ist, wobei der Name der Zielorganisation in einer Variablen zur Bildung des Dateipfads hinterlegt ist. Existieren diese Datei und eine entsprechende lokale Datei, wird ein zweites Batch-Skript gestartet. Fehlt die entfernte Datei, bricht der Ablauf ab; fehlt nur die lokale Datei, läuft er dennoch weiter. Laut Kaspersky fungiert diese Logik als netzwerkbasierter Auslöser: Die Anwesenheit der entfernten XML-Datei dient als Steuersignal, um die Ausführung über die Systeme der Domäne hinweg anzustoßen – ein Vorgehen, das klassischen Backdoor-Auslösemechanismen entspricht.
Das zweite Skript prüft anhand einer weiteren Datei, ob es bereits gelaufen ist. Ist das nicht der Fall, zählt es lokale Benutzerkonten auf, ändert deren Passwörter, deaktiviert zwischengespeicherte Anmeldungen, meldet aktive Sitzungen ab und schaltet Netzwerkschnittstellen ab, um den Zugriff auf das Gerät zu verhindern. Anschließend erfasst es die logischen Laufwerke, löscht deren Inhalte, kopiert Windows-Binärdateien in ein Arbeitsverzeichnis, überschreibt oder löscht vorhandene Ordnerinhalte und füllt den verfügbaren freien Speicherplatz mit einer großen Datei, um die Speicherkapazität zu erschöpfen.
Danach wird eine ausführbare Datei gestartet, die Lotus Wiper nachlädt und ausführt. Da diese Binärdatei bereits vor dem Angriff abgelegt wurde, hatte der Angreifer nach Einschätzung von Kaspersky vermutlich schon zuvor Zugriff auf das kompromittierte System.
Der Wiper selbst aktiviert alle Berechtigungen in seinem aktuellen Token, um auf administrative Funktionen zuzugreifen, löscht Wiederherstellungspunkte und überschreibt jedes physische Laufwerk, indem er Nullen in dessen Sektoren schreibt. Anschließend löscht er die Update-Sequenznummern (USN) der Journale der Datenträger und durchsucht abschließend alle Volumes nach Dateien, die er entfernt.