SprySOCKS wurde erstmals von Trend Micro öffentlich beschrieben. Damals schrieb das Unternehmen den Einsatz der Malware dem China-nahen, staatlich unterstützten Akteur Earth Lusca zu, der in der Sicherheitsbranche auch unter den Namen Aquatic Panda, Bronze University, Charcoal Typhoon und RedHotel verfolgt wird. Der Akteur soll mindestens seit 2021 aktiv sein und von dem chinesischen Auftragnehmer i-Soon betrieben werden.
ESET ordnet die Aktivität einem Cluster zu, das der Hersteller FishMonger nennt, und beschreibt die Gruppe als Cyberspionage-Akteur innerhalb des größeren Winnti-Umfelds. In einem im März 2025 veröffentlichten Bericht verband ESET die Gruppe mit der weltweiten Kampagne Operation FishMedley, die zwischen Januar und Oktober 2022 sieben Organisationen in Taiwan, Ungarn, der Türkei, Thailand, Frankreich und den USA ins Visier genommen haben soll.
Technisch basiert SprySOCKS auf dem Windows-Remote-Access-Trojaner Trochilus. Laut ESET weist die Malware zudem mehrere Gemeinsamkeiten mit RedLeaves auf, einer Backdoor mit erheblichen Überschneidungen im Quellcode zu Trochilus. Der Einsatz von Trochilus wiederum wird mit dem chinesischen Akteur Webworm in Verbindung gebracht, dessen Vorgehensweisen Überschneidungen mit FishMonger und SixLittleMonkeys zeigen.
Die nun entdeckten Windows-Varianten gehören zu SprySOCKS Version 1.8. Beim Sample WIN_DRV kommt für die erweiterte Tarnung ein Kernel-Treiber namens RawWNPF zum Einsatz, der als „KW1B5206BDC1743FP.dat“ bezeichnet wird. Geladen wird er über einen weiteren verschlüsselten Kernel-Treiber mit dem Namen DriverLoader, der als „KX1B5206BDC1743DD.dat“ auftaucht. Nach Angaben von ESET behält WIN_DRV die Funktionen der Linux-Variante bei und ergänzt sie um Windows-spezifische Mechanismen sowie zusätzliche Tarnfunktionen.
Die Angriffskette beginnt laut ESET mit einem bislang nicht geklärten Erstzugangsweg. Anschließend wird ein Batch-Skript abgelegt, das eine geplante Aufgabe erstellt und ausführt. Diese stößt eine DLL-Side-Loading-Kette an, über die die SprySOCKS-Backdoor und die Treiber-Komponenten installiert werden. ESET weist zugleich darauf hin, dass die Gruppe in der Vergangenheit N-Day-Schwachstellen in öffentlich erreichbaren Instanzen von Fortinet, GitLab, Microsoft Exchange Server, Progress Telerik UI und Zimbra ausgenutzt hat, um initialen Zugriff zu erlangen.
WIN_PLUS verfolgt einen anderen Ausführungsansatz. Diese Variante verwendet den Windows-Druckspooler-Dienst „spoolsv.exe“ als Ausgangspunkt, um einen Loader der ersten Stufe als Druckprozessor auszuführen. Dieser ist darauf ausgelegt, einen SprySOCKS-Loader in einen neu erzeugten „svchost.exe“-Prozess einzuschleusen und dort die Backdoor zu starten.
Beide Varianten liegen als DLLs vor und unterstützen drei Kanäle für die C2-Kommunikation über TCP, UDP und WebSocket. Sie können auf kompromittierten Systemen Befehle der Betreiber ausführen, darunter das Sammeln von Systeminformationen, das Starten einer interaktiven Konsole, das Auflisten von Prozessen, das Abrufen von C2-Kommunikationsdetails, das Anzeigen aller Dienste, das Initialisieren eines SOCKS-Proxys sowie das Hoch- und Herunterladen und Ausführen vorhandener Dateien.
Den vorliegenden Spuren zufolge könnten die Artefakte zwischen 2023 und 2024 bei Angriffen auf Regierungsorganisationen in Honduras, Taiwan, Thailand und Pakistan eingesetzt worden sein. Die WIN_PLUS-Version wurde laut ESET erstmals im Juli 2024 auf einem Opfergerät entdeckt, das nach Geolokalisierung in Pakistan lag.
Darüber hinaus sieht ESET „begrenzte Hinweise“ auf die Beteiligung eines UEFI-Bootkits. Dieses habe wahrscheinlich CVE-2023-24932 ausgenutzt, eine Schwachstelle zur Umgehung von Sicherheitsfunktionen im Windows Boot Manager mit einem CVSS-Wert von 6,7, die eng mit dem UEFI-Bootkit BlackLotus verbunden ist. Microsoft hatte die Lücke im Mai 2023 behoben.