Den entscheidenden forensischen Hinweis lieferte laut SentinelOne eine in „svcmgmt.exe" enthaltene Zeichenkette. Die Datei trägt nach Angaben von VirusTotal einen Erstellungszeitstempel vom 30. August 2005, wurde dort aber erst über ein Jahrzehnt später, am 8. Oktober 2016, hochgeladen. Die Kernlogik des Schädlings liegt im Lua-Bytecode; der Binärcode verweist zudem über einen PDB-Pfad auf einen Kerneltreiber namens „fast16.sys" mit einem Erstellungsdatum vom 19. Juli 2005. Dieser Treiber ist dafür zuständig, ausführbaren Code beim Lesen von der Festplatte abzufangen und zu verändern – läuft allerdings nicht unter Windows 7 oder neuer.

Den Namen fast16 fanden die Forscher in einer Textdatei „drv_list.txt", die eine Liste von Treibern für Angriffe durch hochentwickelte, dauerhafte Bedrohungsakteure (APT) enthielt. Die rund 250 KB große Datei wurde vor neun Jahren von einer rätselhaften Hackergruppe geleakt: The Shadow Brokers veröffentlichten 2016 und 2017 umfangreiche Datenbestände, die angeblich von der Equation Group stammten – einer APT-Gruppe mit vermuteten Verbindungen zur US-amerikanischen National Security Agency (NSA). Die Textdatei war Teil des unter dem Namen „Lost in Translation" verbreiteten Materials.

Laut SentinelOne ist „svcmgmt.exe" ein „hochgradig anpassungsfähiges Trägermodul", das sein Verhalten anhand der übergebenen Kommandozeilenargumente ändern und sowohl als Windows-Dienst laufen als auch Lua-Code ausführen kann. Es bringt drei Nutzlasten mit: Lua-Bytecode für Konfiguration, Verbreitung und Koordination, eine ergänzende ConnotifyDLL („svcmgmt.dll") sowie den Kerneltreiber „fast16.sys". Das Modul kann sich als Dienst hochstufen, optional den Kernel-Implantat ausbringen und einen Wurm-Ableger des Service Control Managers starten, der nach Netzwerkservern sucht und sich auf Windows-2000/XP-Systeme mit schwachen oder Standard-Zugangsdaten ausbreitet.

Die Verbreitung erfolgt nur, wenn sie manuell erzwungen wird oder beim Durchsuchen der Windows-Registry keine gängigen Sicherheitsprodukte gefunden werden. Geprüft werden unter anderem Produkte von Agnitum, F-Secure, Kaspersky, McAfee, Microsoft, Symantec, Sygate Technologies und Trend Micro. Der Verweis auf Sygate Technologies gilt den Forschern als weiteres Indiz für eine Entstehung Mitte der 2000er-Jahre.

Für die eigentliche Präzisionssabotage ist der Treiber zuständig. Er nimmt mit dem Intel-C/C++-Compiler kompilierte ausführbare Dateien ins Visier, patcht sie regelbasiert und lenkt den Ausführungsfluss über Code-Injektionen um. Ein Block kann mathematische Berechnungen verfälschen und zielt dabei auf Werkzeuge aus Bauingenieurwesen, Physik und der Simulation physikalischer Prozesse. Durch kleine, systematische Fehler in solchen Berechnungen könne das Framework Forschungsprogramme untergraben, technische Systeme über die Zeit verschlechtern oder zu katastrophalen Schäden beitragen, erklärt SentinelOne.

Aus den 101 Regeln der Patching-Engine leiten die Forscher drei mögliche Ziele ab: die Suiten LS-DYNA 970, PKPM und die hydrodynamische Modellierungsplattform MOHID. Das Institute for Science and International Security (ISIS) hatte im September 2024 anhand von 157 akademischen Publikationen berichtet, dass der Iran Modellierungssoftware wie LS-DYNA wahrscheinlich im Zusammenhang mit der Entwicklung von Kernwaffen einsetzte. Symantec wiederum machte im Februar 2013 eine frühere Version – Stuxnet 0.5 – publik, die im November 2007 gegen das iranische Atomprogramm verwendet wurde und bereits im November 2005 in Entwicklung gewesen sein soll.

Insgesamt erzwinge der Fund eine „Neubewertung" der historischen Zeitlinie verdeckter Cyber-Sabotage, so SentinelOne: Staatlich gestützte Werkzeuge gegen physische Ziele seien bereits Mitte der 2000er-Jahre voll entwickelt und im Einsatz gewesen.