Im Zentrum der Technik stand laut Symantec das sogenannte DLL-Sideloading. Dabei lädt legitime, signierte Software eine bösartige DLL nach. Zwei der dabei eingesetzten Programme waren ‚fmapp.exe‘, ein echtes Audio-Werkzeug von Foremedia, sowie ‚sentinelmemoryscanner.exe‘, eine legitime Komponente von SentinelOne.

Die untergeschobenen DLLs – fmapp.dll und sentinelagentcore.dll – enthielten ChromElevator, ein handelsübliches Werkzeug für die Phase nach der Erstinfektion, das in Chrome-basierten Browsern gespeicherte Daten ausliest. Daneben kam weiterhin PowerShell stark zum Einsatz, das bereits bei früheren Seedworm-Angriffen genutzt wurde. Anders als zuvor wurden die Schadkomponenten jedoch über Node.js-Loader gesteuert statt direkt aufgerufen.

PowerShell diente zum Anfertigen von Bildschirmfotos, zur Aufklärung, zum Nachladen weiterer Schadsoftware, zum Einnisten im System, zum Diebstahl von Zugangsdaten sowie zum Aufbau von SOCKS5-Tunneln.

Der Angriff auf den südkoreanischen Elektronikhersteller dauerte nach Beobachtung von Symantec vom 20. bis zum 27. Februar. In der ersten Phase führte Seedworm eine Aufklärung von Host und Domäne durch, gefolgt von einer Erfassung der Antivirensoftware über WMI, dem Anfertigen von Screenshots und dem Nachladen weiterer Schadsoftware.

Zugangsdaten wurden über gefälschte Windows-Eingabeaufforderungen, den Diebstahl von Registry-Hives (SAM, SECURITY, SYSTEM) und Werkzeuge zum Missbrauch von Kerberos-Tickets erbeutet. Die dauerhafte Verankerung erfolgte über Änderungen an der Registry; die Schadsoftware meldete sich in Abständen von 90 Sekunden zurück, und die per Sideloading gestarteten Programme wurden wiederholt neu aufgerufen, um den Zugang zu erhalten.

„Die Taktung passt erneut eher zu einer durch Implantate gesteuerten Aktivität als zu einer durchgehenden Präsenz eines Operators“, erklärten die Forscher. Für das Abfließen der Daten nutzten die Angreifer sendit.sh, einen öffentlichen Filesharing-Dienst – vermutlich, um die Aktivität zu verschleiern und sie als normalen Datenverkehr erscheinen zu lassen.