Im Zentrum der offengelegten Angriffe steht AnySign4PC, eine Software für zertifikatsbasierte elektronische Signaturen. ENKI Whitehat identifizierte das Produkt als eines der verwundbaren Ziele und erklärte, die Angreifer hätten eine Zero-Day-Schwachstelle ausgenutzt. ENKI beobachtete die Aktivität bereits in der zweiten Hälfte von 2025, also bevor KISA seinen Patch-Hinweis im Juni 2026 veröffentlichte. KISAs Sicherheitsmitteilung vom 1. Juni beschreibt für AnySign4PC 1.1.4.4 bis 1.1.4.6 einen Pufferüberlauf, der Remotecodeausführung ermöglicht; eine CVE-Kennung nennt die Behörde nicht.
AhnLab bezeichnet in seinem Bericht zwei ausgenutzte Produkte nur als Finanz-Sicherheitssoftware A und I. Identitäten, betroffene Versionen, behobene Versionen oder Schwachstellenkennungen nennt das Unternehmen dazu nicht. Damit bleibt auch offen, ob die in einem späteren Ransomware-Fall missbrauchte Schwachstelle in der von AhnLab so bezeichneten Software A tatsächlich AnySign4PC war.
Die Angreifer verschickten laut KISA und den beteiligten Firmen Spear-Phishing-Nachrichten, die als Lebensläufe, Kontaktaufnahmen für Stellenangebote, Anlagematerialien oder Branchenumfragen getarnt waren. Zusätzlich kompromittierten sie Websites aus den Bereichen Nachrichten, Gesundheitswesen, Bildung und Fertigung sowie kleinere, schwächer abgesicherte Seiten, die ihre Zielpersonen voraussichtlich besuchen würden. Plainbit rekonstruierte einen dieser Watering-Hole-Vorfälle forensisch: Demnach kartierten die Angreifer zunächst die aus dem Internet erreichbaren Systeme eines Opfers, kompromittierten dessen Website, installierten eine Webshell und schleusten JavaScript in eine legitime Nachrichtenseite ein.
AhnLabs Bericht „Operation Double Barrel“ beschreibt die technische Angriffskette näher. Demnach nutzte sie vier PNG-Bilder, um Schlüssel auszutauschen, die installierte Softwareversion zu prüfen, versionsspezifischen Exploit-Code nachzuladen und den Ausführungserfolg zurückzumelden. Die manipulierte Webseite kommunizierte per WebSocket mit dem lokalen Sicherheitsprogramm und löste einen Pufferüberlauf aus, um Shellcode auszuführen. Plainbit zufolge erzeugte das verwundbare Sicherheitsprogramm dabei eine schädliche DLL, ohne Download-Hinweis oder andere Nutzerinteraktion.
Im weiteren Verlauf wurde die Nutzlast in legitime Microsoft-Prozesse injiziert. Je nach Eindringvorgang installierten die Angreifer Struggle, das AhnLab SIGNBT 3.0 zuordnet, oder Brandoor, AhnLabs Bezeichnung für die COPPERHEDGE-Backdoor. Die Schadprogramme unterstützten ferngesteuerte Befehlsausführung, Dateidiebstahl, interne Aufklärung, Prozessinjektion und das Nachladen weiterer Nutzlasten. S2W fand in drei Malware-Clustern wiederkehrend DLL-Side-Loading, verschlüsselte Registrierungsdaten und das Laden von Portable-Executable-Dateien im Speicher. Zwei Cluster setzten SIGNBT in den Versionen 0.0.1 und 1.2 ein.
Für die spätere Bewegung im Netzwerk beobachtete Plainbit den Einsatz von Privilegieneskalations-Exploits, Mimikatz, weiteren Werkzeugen für Zugangsdaten, Remote Desktop Protocol und NLBrute. Eine Persistenzkette bestand laut Plainbit aus einer geplanten Aufgabe namens RuntimeBroker, die task.vbs startete, woraufhin ein umbenannter SSH-Client als SearchHost.exe einen Reverse-Tunnel aufbaute. ENKI ergänzte, dass seine Typ-1-Backdoor in mehreren Betriebsmodi ihre Registry-Konfiguration, den Loader und Backdoor-Dateien nach dem Kopieren in den Speicher wieder löschte. Das erschwere die Erkennung über stabile Dateimerkmale und mache Verhaltensdaten aussagekräftiger.
AhnLab erklärte, 2026 Hinweise auf zusammenhängende Angriffe bei 72 Organisationen identifiziert zu haben, und fand 15 legitime Websites, die als Watering Holes dienten. Das Unternehmen verweist zugleich darauf, dass diese Zahl keine gleich stark bestätigten vollständigen Kompromittierungen darstellt. Auffällig sind Überschneidungen zu Angriffen, die mit Gunra-Ransomware endeten: dieselbe anfängliche Zugriffsschwachstelle, Dateinamen und Ausführungsmuster von Malware, derselbe Fingerabdruck des öffentlichen SSH-Schlüssels Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24, dieselbe Reverse-Tunneling-Adresse 176.65.128[.]26 sowie die Domain jshosting[.]me zur Verteilung von Exploit-Skripten. Beide Angriffsketten injizierten zudem Code in SyncHost.exe.
Trotz dieser Gemeinsamkeiten betont AhnLab, die Belege reichten nicht aus, um beide Operationen einem einzigen Akteur zuzuschreiben. Das Unternehmen spricht von einer wahrscheinlichen technischen Verbindung, nennt aber mehrere mögliche Erklärungen, darunter begrenzte Zusammenarbeit, geteilte Werkzeuge oder Infrastruktur, einen gemeinsamen Zugangsvermittler oder den Zugriff auf dieselben operativen Ressourcen. Auch der aktuelle Behördenhinweis und der Bericht „Operation Double Barrel“ schreiben die vollständige Kampagne von 2025 bis 2026 nicht Lazarus zu und stellen keine Verbindung zwischen Lazarus und Gunra her. AhnLab hatte allerdings in einem separaten Bericht vom April einen AnySign4PC-Watering-Hole-Angriff vom März 2026 Lazarus zugeschrieben; Kaspersky dokumentierte zuvor in der Operation SyncHole den Einsatz von Watering Holes, südkoreanischer Sicherheitssoftware, SIGNBT und COPPERHEDGE durch Lazarus.