Nach Beobachtungen von CERT-UA, die bereits in diesem Sommer einsetzten, enthält das aus dem ZIP-Archiv gestartete VBScript eine Täuschungskomponente: Es lädt eine Lockvogel-PDF herunter und zeigt sie dem Opfer an. Parallel wird unbemerkt ein zweites Archiv mit dem Namen „Evernote.zip“ nachgeladen, das mehrere weitere Bestandteile enthält.
Das eigentliche Ziel des Skripts ist es, den Inhalt dieses Archivs zu entpacken und Notepad++ zu starten. Darüber wird dann „NppExport.dll“ geladen. Diese DLL mit dem Codenamen LUNCHPOKE ist laut CERT-UA dafür ausgelegt, ein RAR-Archiv zu entpacken. Darin befinden sich „RemoteLibUpdater.exe“ und „InitTest.dll“. Die Dateien werden in ein bestimmtes Verzeichnis geschrieben, anschließend richtet die Schadkette über eine geplante Aufgabe Persistenz ein, damit „RemoteLibUpdater.exe“ alle drei Minuten ausgeführt wird.
Bei „RemoteLibUpdater.exe“ handelt es sich um BURNYBEAR. Diese Komponente dient als Loader für „InitTest.dll“, eine modifizierte Fassung von MATCHBOIL. MATCHBOIL ist ein in C# geschriebener Loader, der weitere Nutzlasten nachladen kann. Die neue Variante wird von CERT-UA als MATCHBOIL.V2 bezeichnet.
CERT-UA weist zudem auf eine Besonderheit von BURNYBEAR hin: Wird „RemoteLibUpdater.exe“ falsch gestartet, also ohne Angabe von Argumenten, aktiviert die Komponente stattdessen eine Logik, die Arbeitsspeicher und Prozessor auslasten soll. Die Behörde empfiehlt Organisationen, WinRAR, 7-Zip und Notepad++ auf aktuelle Versionen zu bringen, damit bekannte Schwachstellen nicht zur Vorbereitung weiterer Angriffe missbraucht werden können.
Daneben verweist der Quelltext auf eine weitere, davon getrennte Phishing-Kampagne, auf die die US-Regierung aufmerksam gemacht hat. Sie wird dem Russland zugeordneten Akteur Laundry Bear zugeschrieben, auch bekannt als CL-STA-1114, TA488, UNK_PitStop und Void Blizzard. Seit mindestens Juli 2025 zielt diese Kampagne auf Zimbra-Mailserver westlicher Regierungs- und Wirtschaftsorganisationen.
Dabei kommt ein neuartiger „Halb-Klick“-Exploit zum Einsatz, der CVE-2025-66376 missbraucht, um ein bösartiges JavaScript mit dem Namen ZimReaper auszuliefern. Laut US-Regierung kann es E-Mail-Kommunikation und andere sensible Daten abgreifen. Anders als klassische Phishing-Kampagnen, bei denen Nutzer etwa auf einen Link klicken oder eine Datei öffnen müssen, reicht hier bereits das Anzeigen einer bösartigen E-Mail in einer verwundbaren Version des Webmail-Dienstes.
Ebenfalls angesprochen wird ein Bericht von Proofpoint zu fortgesetzten Angriffen auf Webmail-Systeme im Rahmen von Operation RoundPress. Das Unternehmen verfolgt die Aktivität unter der Bezeichnung TA458. Seit der ersten Offenlegung durch ESET im Mai 2025 wurde die Kampagne demnach auf Kerio Webmail und SOGo Webmail ausgeweitet, zusätzlich zu Zimbra, mDaemon und Roundcube. Im März 2026 soll die Gruppe Zero-Day-Schwachstellen in Kerio und in SOGo Webmail ausgenutzt haben, darunter CVE-2026-8496, die später in Version 5.12.8 gepatcht wurde. Für Kerio wurde keine CVE vergeben, weil das Webmail-Produkt alt und veraltet war.
Proofpoint berichtet außerdem, dass TA458 seit mindestens Juli 2025 Komponenten zum Datendiebstahl entfernte und stattdessen interaktive Hintertür-Mechanismen in seine Roundcube-Variante von SpyPress integrierte, um langfristigen Zugriff zu sichern. SpyPress nutzt demnach einen zweiten Roundcube-Exploit, CVE-2025-49113, der den Datei-Upload-Handler von Roundcube missbraucht, um unsichere PHP-Deserialisierung auszulösen. Proofpoint beschreibt TA458 als mutmaßliche Operation des russischen Militärgeheimdienstes ohne Überschneidungen mit APT28, auch bekannt als TA422.