Die Analyse von XLab zeichnet eine mehrstufige Angriffskette nach. Den Ausgangspunkt bildet ein Shell-Skript, das mit wget oder curl einen in Go geschriebenen Infektor von einem entfernten Server („cp.dene.[de[.]com“) herunterlädt. Dieser Infektor hinterlegt auf dem kompromittierten cPanel-System einen öffentlichen SSH-Schlüssel für dauerhaften Zugriff und legt zusätzlich eine PHP-Webshell ab, die das Hoch- und Herunterladen von Dateien sowie die Ausführung entfernter Befehle erlaubt.

Über diese Webshell wird anschließend JavaScript-Code eingeschleust, der eine manipulierte Login-Seite ausspielt. Damit fangen die Angreifer Zugangsdaten ab und leiten sie an ein von ihnen kontrolliertes System weiter, dessen Adresse mit der ROT13-Chiffre kodiert ist („wrned[.]com“). Sind die Daten übermittelt, endet die Kette mit dem Einsatz einer plattformübergreifenden Backdoor, die Windows, macOS und Linux infizieren kann.

Der Infektor sammelt zudem sensible Informationen vom betroffenen Host ein – darunter die Bash-History, SSH-Daten, Geräteinformationen, Datenbankpasswörter und cPanel-Virtual-Aliases (valiases). Diese Daten werden an eine dreiköpfige Telegram-Gruppe übermittelt, die von einem Nutzer namens „0xWR“ eingerichtet wurde.

In der von XLab untersuchten Infektionssequenz wird die eigentliche Backdoor Filemanager über ein Shell-Skript ausgeliefert, das von der Domain „wpsock[.]com“ stammt. Filemanager beherrscht laut den Forschern Dateiverwaltung, die Ausführung entfernter Befehle und Shell-Funktionen.

Nach Einschätzung von XLab agiert der Akteur hinter der Operation bereits seit Jahren weitgehend unbemerkt. Diese Bewertung stützt sich darauf, dass die im JavaScript-Code eingebettete Command-and-Control-Domain bereits in einer PHP-basierten Backdoor („helper.php“) verwendet wurde, die im April 2022 auf die Plattform VirusTotal hochgeladen wurde. Die Domain selbst wurde erstmals im Oktober 2020 registriert.

„Über die sechs Jahre von 2020 bis heute ist die Erkennungsrate der mit Mr_Rot13 verbundenen Samples und Infrastruktur in Sicherheitsprodukten extrem niedrig geblieben“, erklärte XLab.