Im Zentrum der von ReliaQuest beobachteten Operationen steht ein individuelles Web-Shell-Framework aus drei Komponenten. Diese verschaffen den Angreifern Fernzugriff auf den kompromittierten Host und sind zugleich darauf ausgelegt, signaturbasierte Erkennung zu umgehen. Zusätzlich erschwert das Framework laut ReliaQuest forensische Analysen, indem es Zeitstempel manipuliert.
Dazu durchsucht die Schadkomponente jedes Datei- und Unterverzeichnis in der Umgebung der abgelegten Web-Shells, berechnet den Median der letzten Änderungszeitpunkte und überschreibt anschließend die eigenen Erstellungs- und Änderungszeiten mit diesem Wert. Dadurch entsteht der Eindruck, die Artefakte seien bereits seit längerer Zeit vorhanden. ReliaQuest betont, das Framework vereine Fähigkeiten, die selten gemeinsam zu sehen seien: Jede Bereitstellung werde individuell erzeugt, der Zugriff sei durch kryptografische Kontrollen auf den Angreifer beschränkt, und kompromittierte Server meldeten sich automatisch für eine zentrale Verwaltung in größerem Maßstab zurück.
Taktisch sieht ReliaQuest eine enge Nähe zu CL-STA-0048. Das lasse die Möglichkeit zu, dass es sich um einen bereits bekannten Cluster handelt, der sein Werkzeugarsenal vollständig überarbeitet hat, oder dass OP-512 diese Fähigkeiten eigenständig entwickelt hat. Unabhängig davon bewertet das Unternehmen die Gruppe als eigenständigen Cluster, der autonom operiert.
In dem konkret beobachteten Angriff zielte der Akteur auf einen älteren IIS-Server mit Windows Server 2016 und dem nicht mehr unterstützten .NET Framework 4.0. Auf demselben Host fanden sich Hinweise auf frühere Aktivitäten rund 75 Tage vor dem Hauptvorfall. Dazu gehörten DNS-Anfragen an eine andere von den Angreifern kontrollierte Domain namens „ashx.lhlsjcb[.]com“.
Die spätere Angriffssequenz beschreibt ReliaQuest als „Sprint“. Dabei nutzten die Angreifer den Worker-Prozess des Webservers, „w3wp.exe“, um eine der Web-Shells im Upload-Verzeichnis der Anwendung abzulegen. Das löste einen Selbstmelde-Mechanismus aus, der per DNS-Anfrage oder alternativ per HTTP-Anfrage den Speicherort der Web-Shell an eine von den Angreifern kontrollierte Domain übermittelte.
Nach Darstellung der ReliaQuest-Forscher verschafften die drei Web-Shells zusammen Dateiverwaltung, authentifizierte Befehlsausführung über zwei voneinander unabhängige Zugriffswege und eine automatisierte Meldung der Kompromittierung — noch bevor jemand hätte reagieren können. Anschließend versuchte OP-512 demnach, mit der Potato Suite Privilegien bis auf SYSTEM-Ebene auszuweiten, und führte Befehle wie „whoami /priv“ aus, um die erreichten Rechte zu überprüfen.
ReliaQuest hebt hervor, dass vier China-nahe Cluster innerhalb von weniger als einem Jahr dieselbe Technologie angreifen. Das sei „unwahrscheinlich kein Zufall“. Öffentlich erreichbare IIS-Server mit veralteter, nicht mehr unterstützter Software blieben ein bevorzugter Einstiegspunkt in diesem Bedrohungsumfeld. Besorgniserregend sei vor allem, dass OP-512 keine Standardwerkzeuge verwende, sondern eine eigens entwickelte Plattform, die auf die Umgehung jener Erkennungsmethoden ausgelegt sei, die bei den drei anderen Clustern funktionieren.