Nach Angaben von Group-IB gelangten die Betreiber auf den Bildgebungsserver des vietnamesischen Krankenhauses über Webshells, die auf einer exponierten Java-Verwaltungsschnittstelle platziert waren. Der Bericht ordnet die auf dem Server gefundenen Artefakte einer zusammenhängenden Operation zu, weist aber darauf hin, dass sich Werkzeuge im China-nahen Ökosystem frei bewegen. Eine Übereinstimmung bei den Tools sei deshalb nicht automatisch eine Übereinstimmung bei den Akteuren.

TriBack Loader taucht in vier Infektionsketten auf, die auf DLL-Sideloading basieren. In den meisten sichergestellten Varianten wird eine legitime signierte ausführbare Datei mit einer bösartigen DLL und einer verschlüsselten .dat- oder .log-Nutzlast kombiniert. Die DLL kehrt die Bytes der Nutzlast um, verknüpft sie per XOR mit einem rollierenden Schlüssel und führt den Shellcode über Win32-Aufrufe aus, die von EDR-Produkten laut Bericht weniger genau beobachtet werden als CreateThread.

Die Varianten unterscheiden sich vor allem beim letzten Ausführungsschritt. Zwei nutzen InitOnceExecuteOnce beziehungsweise einen TimerQueue-Rückruf, eine dritte setzt auf EtwpCreateEtwThread, eine nicht dokumentierte Routine zur Thread-Erstellung in ntdll. Auch die signierte Host-Datei wechselte zwischen den Varianten. Die wiederkehrende API-Abfolge deutet den Forschern zufolge auf einen maßgeschneiderten Loader-Baukasten hin.

Zwei Varianten lieferten AdaptixC2 aus, ein Open-Source-Framework für Post-Exploitation. Eine an Claude angelehnte Variante verwendete DonutLoader, um Beagle auszuführen, eine Hintertür, die Sophos nach eigenen Angaben zuerst dokumentiert hat. Die Nutzlast der vierten Variante ist unbekannt, weil die verschlüsselte Begleitdatei nicht wiedergefunden wurde.

Bei den Lockmitteln setzten die Angreifer auf unterschiedliche Themen. Ein Spear-Phishing-Archiv enthielt als Köder einen gefälschten Kontoauszug einer Getränkefirma. In einer anderen Kampagne gaben sich die Betreiber als Anthropic-Software Claude aus. Dafür nutzten sie die Domain claude-pro[.]com, die am 28. März 2026 registriert wurde, und verteilten darüber einen schädlichen MSI-Installer. Nach einer UAC-Abfrage legte dieser die Sideloading-Kette zur Persistenz im Windows-Startordner ab. Die ausgelieferte Beagle-Hintertür meldete sich bei license[.]claude-pro[.]com.

Sophos analysierte die gefälschte Website, die Hosting-Infrastruktur und Malware-Proben und fand denselben wiederverwendeten XOR-Schlüssel in Builds, die bis in den Februar zurückreichen. Das Unternehmen betonte jedoch, ein gemeinsamer Schlüssel reiche nicht aus, um auf denselben Akteur zu schließen. Group-IB zieht die Verbindung zu den asiatischen Einbrüchen aus dem Inhalt des offengelegten Servers.

Zum Scannen nutzten die Betreiber Nuclei mit ausschließlich als kritisch eingestuften Vorlagen gegen eine Liste von 14.653 bildungsbezogenen URLs in Hongkong. Dabei identifizierten sie 13 einzigartige Schwachstellen. Wie viele der anschließenden Ausnutzungsversuche erfolgreich waren, geht aus dem Bericht nicht hervor.

Group-IB nennt vier CVEs, die die Angreifer gegen einzelne Hosts versucht haben; The Hacker News bestätigte alle vier am 23. Juli 2026 anhand des NVD: CVE-2018-11511 in ASUSTOR ADM, CVE-2021-24139 im WordPress-Plugin 10Web Photo Gallery, CVE-2021-31755 in Tenda-AC11-Routern und CVE-2021-32305 in WebSVN. Alle vier haben einen CVSS-Basiswert von 9,8. Die Tenda-Lücke steht seit dem 3. November 2021 im Katalog der von CISA als bekanntermaßen ausgenutzt geführten Schwachstellen; die Frist für Abhilfemaßnahmen auf Bundesebene lief zwei Wochen später ab.

Sophos bewertet die gefälschte Claude-Seite als wahrscheinlichen Teil einer laufenden Malvertising-Kampagne. Erkennungsmerkmale ergeben sich laut Bericht vor allem aus dem Dateiaufbau, weil Dateinamen und signierte Host-Dateien von Build zu Build wechseln. Zugleich stützte sich der Scan-Teil der Operation auf Schwachstellen, die bereits 2018 und 2021 veröffentlicht wurden; die maßgeschneiderte Entwicklung setzte erst nach dem Eindringen an.