Der von Zscaler ThreatLabz beschriebene Angriff beginnt mit einer ISO-Datei, die eine legitime ausführbare Datei namens „RegSchdTask.exe“ enthält. Diese wird verwendet, um eine schädliche DLL mit dem Namen „AsTaskSched.dll“ per Side-Loading nachzuladen. Bei dieser DLL handelt es sich um TELESHIM, eine 32-Bit-Hintertür für Windows, die anschließend über Telegram weitere Komponenten der nächsten Stufe abruft.
Zwei dieser nachgeladenen Komponenten stoßen eine zweite DLL-Side-Loading-Kette an. Sie besteht aus „GoProAlertService.exe“ und „pthreadVC2.dll“. Letztere fungiert als reflektiver Loader mit dem Codenamen MIXEDKEY. Nach Angaben von Zscaler entschlüsselt MIXEDKEY den Inhalt von „C99F29AC08454855B3D538960BB2F34F.PCPKEY“ und führt ihn aus.
Sowohl TELESHIM als auch MIXEDKEY setzen laut ThreatLabz in großem Umfang auf Code-Verschleierung. Genannt werden unter anderem Zeichenkettenverschlüsselung, abgeflachter Kontrollfluss, gemischte boolesche Arithmetik und undurchsichtige Prädikate, um Analysen und Reverse Engineering zu erschweren. TELESHIM nutzt zudem mehrere Methoden, um virtualisierte Analyseumgebungen zu erkennen.
Besonders hervor hebt Zscaler die Absicherung der letzten Nutzlast. Sie ist durch zwei Schichten XOR-Verschlüsselung geschützt. Die zweite Schicht nutzt sogenanntes Environmental Keying: Der Entschlüsselungsschlüssel wird aus der Volume-Seriennummer des infizierten Systems abgeleitet. Dadurch soll die Schadsoftware nur auf den vorgesehenen Zielsystemen ausgelöst werden.
Am Ende der Angriffskette wird BINDCLOAK installiert, ein in C++ geschriebener 64-Bit-C2-Implantat, das Kontakt zu dem externen Server „cert.hypersnet[.]com“ aufnimmt. ThreatLabz beobachtete nach der Kompromittierung auch Aktivitäten des Operators am Kommando-und-Kontroll-Kanal, darunter Befehle zur Aufklärung von System, Benutzern und Netzwerk sowie die Auslieferung weiterer Nutzlasten.
Der Großteil dieser Aktivitäten fand laut Zscaler zwischen dem 7. Juli 2026 und dem 9. Juli 2026 statt. Ausgeführt wurden die C2-Befehle ausschließlich zwischen 4 Uhr und 12 Uhr UTC, wobei ein großer Teil der Aktivität auf das Zeitfenster zwischen 7 Uhr und 11 Uhr UTC entfiel.
Eine Zuordnung zu einer bekannten Gruppe gibt es bislang nicht. Zscaler bewertet jedoch mit mittlerer bis hoher Sicherheit, dass der Angreifer aus Ostasien stammt. Als Indikatoren nennt das Unternehmen die öffentliche IP-Adresse des Akteurs, die System-Lokalisierung seines Windows-Servers, die Geolokalisierung der IP-Adresse und die aktiven Operationszeiten.
Sudeep Singh, Senior Manager für APT-Forschung bei Zscaler ThreatLabz, sieht in der Kampagne auch breitere Entwicklungen gespiegelt: die Umgehung von EDR-Lösungen, das Verbergen in legitimem Internetverkehr durch den Missbrauch vertrauenswürdiger Plattformen sowie den Einsatz von Verschleierungstechniken wie gemischter boolescher Arithmetik und abgeflachtem Kontrollfluss, um Reverse Engineering zu behindern.