Im Zentrum von Fast16 steht laut SentinelLabs die Datei „svcmgmt.exe“, die als Trägermodul dient. Abhängig von den übergebenen Befehlszeilenargumenten kann sie als Dienst laufen, Lua-Code ausführen und anhand eines Dateinamens zwei Befehle starten. Die Datei enthält drei Nutzlasten: Lua-Code für Konfiguration, Verbreitung und Koordination, eine zusätzliche DLL sowie den Kernel-Treiber.

„Indem sie eine vergleichsweise stabile Ausführungshülle von verschlüsselten, aufgabenspezifischen Nutzlasten trennten, schufen die Entwickler ein wiederverwendbares, modular abgeschottetes Rahmenwerk, das sie an unterschiedliche Zielumgebungen und Einsatzziele anpassen konnten, während die äußere Trägerdatei über mehrere Kampagnen hinweg weitgehend unverändert blieb“, so SentinelLabs.

Zur Verbreitung nutzte Fast16 Standard- oder schwache Passwörter für Dateifreigaben unter Windows 2000 und XP und bewegte sich über reguläre APIs zwischen Systemen. Die Ausbreitung war jedoch an die Abwesenheit bestimmter Hersteller-Schlüssel geknüpft, um eine Ausführung in überwachten Umgebungen zu verhindern. „Für ein Werkzeug dieses Alters ist ein derartiges Maß an Umgebungsbewusstsein bemerkenswert“, merkt SentinelLabs an; die Liste der Produkte spiegele vermutlich jene Erkennungstechnologien wider, deren Anwesenheit die Verdeckung einer verdeckten Operation gefährdet hätte.

Der Treiber fast16.sys lädt automatisch zusammen mit den Festplattentreibern, schiebt sich oberhalb der Dateisysteme ein, deaktiviert den Windows-Prefetcher, löst Kernel-APIs dynamisch auf und hängt sich an jedes Dateisystemgerät, um relevante Ein-/Ausgabeanfragen umzuleiten. Er konzentriert sich auf ausführbare Dateien, die mit dem Intel-C/C++-Compiler erstellt wurden, und verändert deren PE-Header, um zwei zusätzliche Abschnitte für umfangreiche, aber stabile Patches einzufügen.

Nach Einschätzung von SentinelLabs deuten die Muster der Code-Manipulation darauf hin, dass der Treiber die Ausführung von Präzisionsrechenwerkzeugen aus Bauwesen, Physik und Simulation beeinflussen sollte. Durch verfälschte Ausgaben hätten kleine, systematische Fehler in physikalische Berechnungen eingeschleust werden können – mit dem Ziel, Forschungsprogramme zu untergraben oder zu verlangsamen, technische Systeme über die Zeit zu schädigen oder sogar katastrophale Schäden mitzuverursachen. Eine wurmartige Komponente erlaubte die Infektion weiterer Systeme im Netz und sollte verhindern, dass die Sabotage durch Kontrollrechnungen auf einer anderen Maschine auffällt.

SentinelLabs identifizierte drei potenziell anvisierte Suiten für hochpräzise Technik und Simulation: LS-DYNA 970, PKPM und die Plattform MOHID zur hydrodynamischen Modellierung. Konkrete Zielbinärdateien im Visier des Treibers konnte die Firma bislang nicht benennen. Es gebe Hinweise darauf, dass LS-DYNA vom Iran im Rahmen seines Atomwaffenprogramms genutzt wurde; das iranische Nuklearprogramm war auch das Ziel der von den USA und Israel entwickelten Schadsoftware Stuxnet.

Die bloße Existenz der Malware zeige, dass staatliche Fähigkeiten zur Cyber-Sabotage bereits Mitte der 2000er-Jahre voll entwickelt und im Einsatz waren, so SentinelLabs. Fast16 schlage eine Brücke zwischen frühen, weitgehend unsichtbaren Entwicklungsprogrammen und späteren, besser dokumentierten Werkzeugkästen auf Basis von Lua und LuaJIT.