Nach Darstellung von Rapid7 versuchte der Betreiber offenbar, die bei Check Point dokumentierte Technik nachzubauen und auszubauen. Dabei missbraucht eine .url-Verknüpfung ein legitimes signiertes Windows-Binary, während das Arbeitsverzeichnis auf eine vom Angreifer kontrollierte WebDAV-Freigabe zeigt. Im ursprünglichen Angriff startete die Verknüpfung iediagcmd.exe, ein Diagnosetool für Internet Explorer, das Hilfsprogramme wie route.exe nur per Dateiname aufruft. Zeigt das Arbeitsverzeichnis auf die entfernte Freigabe, lädt Windows statt der echten Datei aus System32 die route.exe des Angreifers über WebDAV.
In einer eigenen README-Datei behauptete der Betreiber, dies laufe „ohne jegliche Sicherheitswarnungen. Null Warnmeldungen!“. Microsoft schloss die Lücke laut Quelle im Juni 2025. Rapid7 zufolge lehnten sich die Notizen so eng an die Analyse von Check Point an, dass in einer wiederhergestellten README sogar derselbe Beispielpfad aus dem ursprünglichen Bericht erhalten blieb. Anschließend weitete der Betreiber die Tests aus.
Ein als „umfassendes Test-Kit“ bezeichneter Satz umfasste 59 .url-Dateien, die auf weitere signierte Binärdateien zielten, darunter .NET-Werkzeuge wie InstallUtil und RegAsm, Einträge aus LOLBAS und sogar Kandidaten für UAC-Umgehungen. Zu jeder Datei gab es laut Rapid7 eine schriftliche Begründung, warum die Übernahme funktionieren sollte, sowie eine abgestufte Testreihenfolge. Die Notizen behandelten diese Fälle ausdrücklich als Kandidaten, nicht als bestätigte Übernahmen. Hintergrund war demnach, dass der ursprüngliche Trick unter Windows 11 24H2 nicht mehr funktioniert, weil Internet Explorer und damit iediagcmd.exe dort fehlen.
Im selben Verzeichnis lagen kleinere Testsätze für zwei weitere Schwachstellen bei der Dateiverarbeitung: den MSHTML-Bypass CVE-2026-21513 und die NTLM-Leak-Lücke CVE-2025-24054. Das zentrale Thema blieb jedoch der WebDAV-Hijack. Rapid7 stützt seine Einschätzung einer KI-gestützten Arbeitsweise auf die Form der Unterlagen: READMEs, Anleitungen zur Erzeugung von Lockinhalten, matrixartige Testdokumente und eine Datei namens _MAPPING.csv mit der Zuordnung von Testdateien zu Ziel-Binärdateien hätten die typisierte Formatierung, Ausführlichkeit und emoji-lastige Struktur, die das Unternehmen mit Ausgaben großer Sprachmodelle verbindet.
Auch das JavaScript der Phishing-Seite wertete Rapid7 in diesem Sinne. Russische Kommentare und Ordnernamen, darunter „testik“, verorten den Betreiber nach Einschätzung der Forscher in einem russischsprachigen Umfeld, identifizieren ihn aber nicht. Rapid7 ordnet die Operation einem LLM-gestützten Arbeitsablauf zu, wahrscheinlich mit Unterstützung von Coderrr, das es als „CodeRRR“ wiedergibt. The Hacker News bestätigte, dass das Projekt am 20. Juli 2026 öffentlich zugänglich war: ein allgemeiner Open-Source-Agent für KI-gestützte Programmierung, inspiriert von Claude Code, GitHub Copilot CLI und Cursor, nicht speziell für Angreifer entwickelt.
Die von Rapid7 verfolgte Auslieferung führte zu gobf[.]mx, einer Tippfehler-Domain der staatlichen CURP-Abfrage. Dort wurde Opfern eine gefälschte Seite zur Datensatzabfrage präsentiert, deren Download-Schaltfläche eine search-ms:-Abfrage auslöste. Das öffnete die WebDAV-Freigabe des Betreibers als Windows-Explorer-Suche, gefiltert auf .scr-Dateien. Der am häufigsten ausgelieferte Köder gab sich als CURP-PDF-Bericht aus, war tatsächlich aber eine .scr-Datei, deren Name per Rechts-nach-links-Steuerzeichen wie ein PDF erschien.
Diese Datei war ein Inno-Setup-Installer, der einen Loader entpackte und einen .NET-Infostealer vollständig im Speicher startete, eingeschleust in einen signierten Prozess von Qihoo 360. Der Stealer sammelte Kryptowallets, Browser-Zugangsdaten, Sitzungscookies und Telegram-Sitzungen. Ein zweites Kampagnenverzeichnis namens DlrtyGames nutzte einen anderen Weg: Es schleuste eine trojanisierte DLL per Sideloading über eine signierte Ubisoft-Binärdatei ein, um einen modularen .NET-RAT abzulegen.
Über rund fünfeinhalb Tage vom 20. bis 26. Juni 2026 UTC protokollierte das Auslieferungspanel 77.098 Anfragen von 3.892 eindeutigen IP-Adressen aus 101 Ländern. Laut Rapid7 entfielen 82,5 Prozent des Traffics und 96,9 Prozent der Startaktivität allein auf Mexiko. Ein einzelner CURP-Köder verursachte 2.384 von 2.441 Startereignissen, also etwa 97,7 Prozent. Rapid7 betont jedoch, dass diese Kennzahl die Reichweite der Auslieferung misst, nicht bestätigte Infektionen: Ein „Startereignis“ wird gezählt, wenn das Panel eine Client-Anfrage sieht oder eine ausführbare Datei von der Freigabe geöffnet wird. Datenverkehr aus den USA und Deutschland wirkte laut Quelle eher wie Scans als wie Opferverkehr.