Laut Sophos legt das Ausführen der Binärdatei drei Dateien im Autostart-Ordner ab: NOVupdate.exe, NOVupdate.exe.dat und avk.dll. Bei NOVupdate.exe handelt es sich den Forschern zufolge um einen signierten Updater der Sicherheitslösungen von G Data, den die Angreifer missbrauchen, um die schädliche avk.dll sowie die verschlüsselte Datei NOVupdate.exe.dat per Sideloading zu laden.
Sophos weist darauf hin, dass das Sideloading der AVK-DLL und einer verschlüsselten Datei über eine signierte G-Data-Programmdatei bereits in der Vergangenheit mit PlugX-Aktivitäten in Verbindung gebracht wurde. Die DLL entschlüsselt und führt im Arbeitsspeicher die Nutzlast aus NOVupdate.exe.dat aus — dabei handelt es sich um den quelloffenen In-Memory-Injektor DonutLoader. Sophos hatte Donut bereits 2024 bei Angriffen auf Regierungsorganisationen in Südostasien beobachtet.
In diesem Fall bringt Donut die finale Nutzlast, die Beagle-Backdoor, in den Arbeitsspeicher des Systems ein, um einer Entdeckung zu entgehen. Sophos beschreibt Beagle als „relativ einfache Backdoor" mit begrenztem Befehlssatz. Zur Klarstellung: Diese Beagle-Backdoor ist nicht identisch mit dem 2004 dokumentierten, in Delphi geschriebenen Wurm Beagle/Bagle.
Die Backdoor kommuniziert mit dem Command-and-Control-Server unter „license[.]claude-pro[.]com" über TCP auf Port 443 und/oder UDP auf Port 8080, wobei ein fest einprogrammierter AES-Schlüssel den Datenaustausch schützt. Der C2-Server ist unter der IP-Adresse 8.217.190[.]58 gehostet; laut den Forschern von Malwarebytes liegt diese im Adressbereich des Dienstes Alibaba-Cloud.
Bei weiteren Nachforschungen stieß Sophos auf zusätzliche Beagle-Proben, die zwischen Februar und April dieses Jahres bei VirusTotal eingereicht wurden und denselben XOR-Schlüssel zur Entschlüsselung verwendeten. Diese Proben infizierten ihre Ziele jedoch über andere Angriffsketten — unter anderem mithilfe von Microsoft-Defender-Binärdateien, AdaptixC2-Shellcode und einem PDF-Köderdokument — und gaben sich als Update-Seiten mehrerer Sicherheitsanbieter aus, etwa CrowdStrike, SentinelOne und Trellix.
Eine eindeutige Zuordnung zu einem Bedrohungsakteur gelang Sophos nicht. Die Forscher halten es jedoch für möglich, dass dieselben Betreiber hinter PlugX mit einer neuen Nutzlast experimentieren. Wer Claude nutzt, sollte die Software ausschließlich über das offizielle Portal beziehen und gesponserte Suchergebnisse meiden.