Nach Angaben von Huntress stießen die Analysten zunächst auf verdächtige Aktivitäten im Zusammenhang mit einem Microsoft-SQL-Server-Prozess. Die weitere Analyse ergab jedoch, dass der Angreifer nicht die Datenbank selbst attackiert hatte. Stattdessen nutzte er eine SQL-Injection in einer auf demselben Server laufenden Webseite. Die unsauber validierte Eingabe reichte aus, um Zugriff auf das darunterliegende Windows-System zu erhalten.
Im nächsten Schritt führte der Angreifer ein in Windows eingebautes Kommando aus, das laufende Dienste auflistet. Solche Abfragen dienen typischerweise der Aufklärung, etwa um lohnende Ziele zu identifizieren oder schädliche Aktivitäten hinter legitim wirkenden Prozessen zu verbergen. Die Ergebnisse dieser Erkundung wurden laut Huntress an einen vom Angreifer kontrollierten Server übertragen.
Anschließend begann der eigentliche Umbau des kompromittierten Systems. Der Eindringling aktivierte zunächst den zuvor nicht eingeschalteten Remote-Desktop-Zugang. Danach legte er ein neues Benutzerkonto an und fügte es der lokalen Gruppe der Administratoren hinzu. Mit diesem Konto meldete er sich anschließend per Remote Desktop am System an. Zusätzlich deaktivierte er Windows Defender, also den integrierten Virenschutz von Microsoft. Andere Überwachungswerkzeuge wie EDR blieben laut Huntress unangetastet. Das sei ungewöhnlich und deute darauf hin, dass der Angreifer die vorhandene EDR-Lösung entweder nicht bemerkt habe oder sie nicht abschalten konnte.
Danach installierte der Angreifer mehrere schädliche Erweiterungen für den auf dem System laufenden Webserver Internet Information Services. Diese Komponenten ordnet Huntress der bekannten Malware-Familie BadIIS zu. Sie wird typischerweise eingesetzt, um legitimen Webverkehr für Suchmaschinenbetrug zu kapern, Besucher umzuleiten, versteckte Links einzuschleusen oder andere Inhalte auszuliefern als die eigentliche Website vorsieht.
Zusätzlich platzierte der Eindringling ein Programm zum Schürfen von Kryptowährungen auf dem Rechner. Um es unauffällig zu halten, versah er die Dateien mit den Attributen verborgen, System und schreibgeschützt. Außerdem richtete er den Miner mit einem legitimen, frei verfügbaren Administrationswerkzeug als Windows-Dienst ein, damit er automatisch startet und auch nach einem Neustart weiterläuft. Hinzu kam ein weiteres Werkzeug, das nach Darstellung von Huntress dazu dienen sollte, die Erkennung der Schadsoftware zu erschweren.
Während des gesamten Angriffs lud der Täter zudem mehrere PowerShell-Skripte und Batch-Dateien von externen Servern nach. Auf diese Weise lassen sich zusätzliche Werkzeuge nachladen, ohne sie bereits in der ersten Angriffsphase mitbringen zu müssen. Eingesetzt wurde PowerShell dabei so, dass die Ausführung ohne sichtbare Fenster, ohne Sicherheitsabfragen und ohne die Beschränkungen der Windows-Richtlinien für Skriptausführung erfolgte.
Für Huntress lag das Besondere des Falls nicht in einer neuartigen Einzeltechnik. Auffällig sei vielmehr gewesen, wie viele verschiedene Veränderungen der Angreifer innerhalb eines einzigen Vorfalls auf nur einem einzigen System vorgenommen habe. Die zentrale Lehre daraus sei, nicht bei der oberflächlichen Bereinigung stehenzubleiben. Im konkreten Fall war der Eintrittspunkt die nicht validierte Eingabe auf einer Webseite. Wären nur Werkzeuge und Konten des Angreifers entfernt, die zugrunde liegende SQL-Injection aber nicht behoben worden, hätte der Täter laut Huntress denselben Zugang erneut nutzen können.