Ausgangspunkt des Angriffs ist nach Darstellung von Zscaler ThreatLabz ein ZIP-Archiv, das Köderdokumente mit militärischem Bezug enthält. Diese starten die manipulierte SumatraPDF-Variante, die dem Opfer ein unauffälliges PDF-Dokument anzeigt. Im Hintergrund lädt sie zugleich verschlüsselten Shellcode von einem Staging-Server nach, um den AdaptixC2 Beacon auszuführen.
Dazu startet die mit einer Hintertür versehene SumatraPDF-Datei eine leicht abgewandelte Version eines Loaders mit dem Codenamen TOSHIS. Dabei handelt es sich um eine Variante der Schadsoftware Xiangoop, die mit Tropic Trooper in Verbindung gebracht wird und in der Vergangenheit dazu diente, Folgeschadsoftware wie Cobalt Strike Beacon oder den Merlin-Agenten für das Mythic-Framework nachzuladen.
Der Loader stößt den mehrstufigen Angriff an: Er legt das Köderdokument als Ablenkung ab und installiert im Hintergrund den AdaptixC2-Agenten. Dieser nutzt GitHub für die Command-and-Control-Kommunikation und ruft von der durch die Angreifer kontrollierten Infrastruktur die auszuführenden Aufgaben ab.
Erst wenn ein Opfer als wertvoll eingestuft wird, geht der Angriff in die nächste Phase über. Dann installieren die Angreifer VS Code und richten VS-Code-Tunnel für den Fernzugriff ein. Auf ausgewählten Rechnern installierten sie zudem weitere trojanisierte Anwendungen – vermutlich, um ihr Vorgehen besser zu verschleiern.
Der an dem Einbruch beteiligte Staging-Server mit der Adresse 158.247.193[.]100 hostete den Forschern zufolge außerdem einen Cobalt Strike Beacon sowie eine eigene Hintertür namens EntryShell – beide wurden in der Vergangenheit bereits von Tropic Trooper eingesetzt.
„Ähnlich wie bei der TAOTH-Kampagne werden öffentlich verfügbare Hintertüren als Schadlast verwendet“, erklärte Zscaler. Während zuvor Cobalt Strike Beacon und Mythic Merlin zum Einsatz gekommen seien, sei die Gruppe nun auf AdaptixC2 umgestiegen.