Crypter spielen im Cybercrime-Ökosystem eine zentrale Rolle, weil sie Schadprogramme verschleiern und ihre Zustellung verbessern. Proofpoint zufolge geht Cruciferra dabei deutlich weiter als viele andere Werkzeuge. Die Forscher Chris Wakelin, Georgi Mladenov und Kyle Cucci schreiben, dass die Routinen zur Verschlüsselung von Nutzlasten und Zeichenfolgen zwischen den Proben stark variieren. Der jeweils eingesetzte Algorithmus sei unterschiedlich und weise eine so große Bandbreite auf, dass er vermutlich polymorph aus Bausteinen bekannter Hash-, Pseudozufalls- und Verschlüsselungsverfahren zusammengesetzt werde. Das erschwere sowohl statische Analysen als auch signaturbasierte Erkennung.
Laut Proofpoint wurde Cruciferra erstmals im Herbst 2025 zum Verkauf angeboten. Über den Dienst wurden demnach unter anderem Agent Tesla, AsyncRAT, DarkCloud Stealer, Formbook, Phantom Stealer, Remcos RAT, Snake Keylogger, ValleyRAT, XLoader, XWorm und zgRAT verteilt. Als primären Erstzugangsvektor beobachtete Proofpoint Phishing. Der Crypter kann dabei entweder eine verschlüsselte Nutzlast auf dem Datenträger ablegen oder sie von einem vorgeschalteten Server nachladen. Die Aktivitäten werden als opportunistisch eingeschätzt und umfassen pro Kampagne zwischen Hunderten und Tausenden von Nachrichten. Zu den wichtigsten Zielbranchen zählen Finanzdienstleistungen, Gesundheitswesen, Behörden, Bildung und Fertigung.
Eine dieser Kampagnen schreibt Proofpoint dem chinesischsprachigen Cybercrime-Akteur TA4922 zu, der teilweise Überschneidungen mit der Gruppe Silver Fox aufweise. Dabei wurden Steuer-Themen als Köder genutzt, um Opfer auf von Angreifern kontrollierte Landingpages zu lotsen, die ZIP-Dateien zur Malware-Verteilung bereitstellten. Proofpoint identifizierte vier solche Kampagnen zwischen April und Anfang Juni 2026. Bereits früher in diesem Monat hatten Seqrite Labs und Cyderes Howler Cell den Angriff ausführlich dokumentiert. Seqrite Labs verfolgt die Aktivität unter dem Namen Operation DragonReturn.
Unabhängig von der jeweiligen Kampagne wird Cruciferra laut Proofpoint stets per DLL-Sideloading ausgeführt. Danach setzt das Werkzeug auf mehrere Techniken, um möglichst unauffällig zu bleiben: Es versteckt Konsolenfenster, entfernt Hooks aus Windows-API-Funktionen, verwendet indirekte Systemaufrufe, deaktiviert Benachrichtigungen für Nutzer und missbraucht den Treiber GoFlyDrv.sys in einer BYOVD-Attacke, um Sicherheitsprozesse zu beenden.
Proofpoint zufolge prüft Cruciferra zudem, ob es mit Administratorrechten läuft. Falls nicht, versucht der Crypter seine Rechte über eine Umgehung der Benutzerkontensteuerung mittels COM Elevation Moniker zu erhöhen. Für die Persistenz schreibt das Programm in den Registrierungspfad Software\Microsoft\Windows\CurrentVersion\Run und verwendet dort standardmäßig den Wert „putty“. Dadurch wird Cruciferra nach einem Neustart erneut ausgeführt.
Die eigentliche Nutzlast wird anschließend über eine Variante von Process Ghosting in den Speicher geladen. Dabei wird bösartiger Code aus einer temporären Datei gestartet, die noch vor dem Prozessstart vom Datenträger gelöscht wird. Laut Proofpoint werden Sicherheitsprodukte dadurch teilweise blind, weil keine Datei mehr für einen Scan vorhanden ist. Das Unternehmen kommt zu dem Schluss, dass sich Cruciferra durch seine umfangreichen und ungewöhnlichen Fähigkeiten zur Abwehrumgehung, seinen modularen Aufbau sowie den stark angepassten und variablen Schutz der Nutzlast von anderen Cryptern abhebt.