Im aktuellen Fall platzieren die Angreifer laut Kaspersky eine schädliche Datei namens wtsapi32.dll im lokalen Verzeichnis des ViPNet Update System. Die von den Forschern HelloInjector genannte Datei wird beim Systemstart über die legitime Datei itcsrvup64.exe per Sideloading geladen.

Diese DLL fungiert als Loader der ersten Stufe und injiziert sich in den Prozess svchost.exe. Dadurch erhalten nachgeladene Komponenten unter Windows erhöhte Rechte und bleiben auch nach Neustarts dauerhaft aktiv.

Wie die Angreifer den anfänglichen Zugriff erlangt haben, um diese Dateimanipulation vorzunehmen, beschreibt Kaspersky nicht. Ebenso sagen die Forscher ausdrücklich nicht, dass die Update-Infrastruktur von ViPNet selbst kompromittiert worden sei.

HelloInjector startet seine eingebettete Nutzlast im Speicher. Diese Komponente, die Kaspersky HelloProxy nennt, verbindet sich mit dem Kommando-und-Kontroll-Server, um weitere Module zu empfangen.

Zu diesen Modulen zählt HelloExecutor, eine Hintertür, die Befehle ausführen und Aufklärungsaktivitäten im Netzwerk des betroffenen Systems durchführen kann. Ein weiteres Modul ist HelloCleaner, ein Werkzeug zum Entfernen von ViPNet-Protokolldaten, um die schädlichen Aktivitäten zu verbergen.

Hinzu kommt ein weiteres Implantat namens HelloBackdoor, das in Rust geschrieben ist. Es unterstützt das Hoch- und Herunterladen von Dateien sowie die Ausführung von Befehlen.

Kaspersky ordnet die Kampagne vorläufig einer nicht identifizierten chinesischsprachigen APT-Gruppe zu. Zugleich betonen die Forscher aber, dass diese Zuordnung nur schwach belegt ist. Sie stützt sich im Wesentlichen auf eine ungenutzte Zeichenkette mit Verweis auf die chinesische Website sina.com sowie auf einen Malware-Download-Spiegel auf Servern der University of Science and Technology of China.

Deshalb bewertet Kaspersky die Zuordnung mit geringer Sicherheit und schließt auch die Möglichkeit einer Täuschungsoperation nicht aus.

Für Systeme mit ViPNet-Software empfiehlt das Sicherheitsunternehmen eine gründliche Überwachung, insbesondere des Datenverkehrs über die Ports 5003 und 5060 für HelloProxy sowie Port 443 für HelloBackdoor.

ViPNet war bereits zuvor ein Ziel ähnlicher Täuschungsversuche. Im April 2025 berichtete Kaspersky, dass Bedrohungsakteure in Angriffen ein ViPNet-Update imitierten.