Nach Angaben von F6 kombinieren die Täter mehrere Methoden: Kaltakquise per Telefon, Phishing-Kampagnen per E-Mail und gefälschte Firmenwebsites. Der Einstieg erfolgt über nachgebaute Internetauftritte, auf denen die Kontaktinformationen so verändert wurden, dass Interessenten bei den Angreifern landen. In einzelnen Fällen setzten die Täter laut F6 sogar ahnungslose Vertriebsmitarbeiter ein, die Anrufe tätigten und Kunden in der Schlussphase von Verhandlungen an einen angeblichen „leitenden Manager“ weiterreichten.
Ab diesem Punkt läuft die weitere Kommunikation nach Darstellung von F6 direkt mit den Betrügern. Diese versenden dann kommerzielle Angebote, Verträge und Rechnungen mit gefälschten Bankverbindungen. So werden Zahlungen an die Täter umgeleitet. Ein Opfer, ein Unternehmen aus Aserbaidschan, soll im April 2025 durch eine betrügerische Transaktion 150.000 US-Dollar verloren haben.
Die Untersuchung von F6 identifizierte fast 100 gefälschte Domains, die sich als Unternehmen ausgaben. Zwischen Teilen der Infrastruktur und früheren Kampagnen wurden Verbindungen festgestellt. Die früheste Domain, die mit den Aktivitäten in Verbindung steht, datiert laut F6 auf 2017. Ein erheblicher Teil der Infrastruktur teile gemeinsame DNS-Einträge, IP-Adressen und weitere Registrierungsdaten, sagte Elena Shamshina, technische Leiterin der Threat-Intelligence-Abteilung von F6. Das deute darauf hin, dass die Websites Teil einer koordinierten Einzelkampagne seien.
F6 verwies außerdem auf einen ähnlichen Fall aus dem Jahr 2017. Damals erhielt ein russisches Chemieunternehmen Anrufe von Landwirten, die sich nach ausbleibenden Lieferungen bereits bezahlter Düngemittel erkundigten. Die Bauern verfügten nach eigener Aussage über Verträge mit Unterschriften vermeintlicher Firmenvertreter, obwohl tatsächlich keine solchen Vereinbarungen abgeschlossen worden waren.
Weitere Nachforschungen ergaben laut F6 einen Fall von Markenmissbrauch: Die Betrüger hatten mit „www.agrocenter-eurohem[.]ru“ eine betrügerische Website erstellt, die nahezu eine perfekte Kopie des echten Auftritts war. Verändert worden seien lediglich die Bankverbindung und die Kontaktdaten. Zusätzlich hätten die Angreifer sehr überzeugende Geschäftsvorschläge auf offiziellem Firmenbriefpapier erstellt. Die Dokumente wirkten authentisch, enthielten aber ausgetauschte Zahlungsdaten zugunsten von Konten unter Kontrolle der Betrüger.
Die Kampagne ist nach Einschätzung von F6 international ausgerichtet. Während frühere Varianten stark auf lokale .ru-Domains gesetzt hätten, verwendeten neu eingerichtete Domains nun verstärkt die Top-Level-Domains .com, .org und .net. Die Websites stehen auf Russisch, Englisch, Arabisch und Französisch bereit. Zudem entdeckte F6 gefälschte Geschäftsdokumente, die kommerzielle Angebote, Verträge und Rechnungen nachahmen und falsche Firmen-E-Mail-Adressen sowie betrügerische Bankdaten enthalten.
Vera Kolenikova, leitende Spezialistin in der Abteilung zur Untersuchung von Cyberkriminalität bei F6, sagte, die Analyse dieser Dateien zeige, dass die Angreifer ein vollständiges Set an Geschäftsdokumenten vorbereiten, um die Scheintransaktion zu stützen und das Vertrauen der Opfer zu erhöhen. Besonders auffällig ist laut F6 auch der Grad der Nachahmung: Nachdem mehrere betroffene Unternehmen auf ihren echten Websites vor dem Betrug gewarnt hatten, kopierten die unbekannten Täter diese Hinweise auf ihre gefälschten Seiten und ersetzten Verweise auf die legitimen Domains durch Adressen unter eigener Kontrolle.