Wie die Angreifer sich zunächst Zugang verschaffen, ist laut Kaspersky derzeit unbekannt. Die Analyse des Unternehmens zeigt jedoch, dass OctLurk per Loader in den Arbeitsspeicher eingebracht wird. Vor der Ausführung prüfen die Angreifer demnach die Internetverbindung zur Domain „dns.ssentialserv[.]xyz“ und starten anschließend ein Batch-Skript, das LurkProxy ausführt. Das Werkzeug verbindet sich danach mit dem Server „154.196.162[.]76“ zur Kommando-und-Kontroll-Kommunikation.

Nach dem Start sammelt OctLurk zunächst Systeminformationen, verschlüsselt diese und sendet sie über eine Stream-Socket-Verbindung an den fest eingebauten C2-Server „dns.multitoconference[.]com“. Die Backdoor kann vom Server gelieferte Plugins direkt in den Arbeitsspeicher laden. Damit lassen sich Befehle ausführen, Dateien bearbeiten, Inhalte der Zwischenablage auslesen und verändern, Bildschirmaufnahmen anfertigen und Mausbewegungen steuern.

Kaspersky zufolge nutzten die Angreifer das Kommandozeilen-Plugin der Backdoor für eine Reihe weiterer Aktionen. Der Quelltext nennt an dieser Stelle zwar eine nachfolgende Aktionskette, führt sie im vorliegenden Material aber nicht im Detail aus.

LurkProxy arbeitet nach Angaben von Kaspersky als Reverse-Proxy in zwei Modi: entweder als SOCKS5-Proxy oder als transparenter Proxy. Gleichzeitig kann die Schadsoftware nur in einem dieser Modi aktiv sein, um Netzwerkverkehr über eine Zieladresse weiterzuleiten.

Das dritte Werkzeug der Kampagne ist SilkLurk. Diese Backdoor wird über eine DLL gestartet, die ihrerseits mithilfe einer DLL-Side-Loading-Kette ausgeführt wird. Anschließend erstellt SilkLurk einen TCP-Socket, verbindet sich mit einem in der Konfiguration hinterlegten C2-Server, sammelt Informationen über das Opfer und überträgt sie an den Server.

Als Antwort sendet der Server einen Befehl an den infizierten Endpunkt. Dieser kann laut Kaspersky darin bestehen, die lokale Systemzeit abzurufen, ein Schlafintervall festzulegen, das bestimmt, wie häufig die Backdoor den C2-Server abfragt, die Konfiguration der Backdoor zu senden oder zu aktualisieren sowie zusätzliche Plugins zu empfangen und in den Arbeitsspeicher einzuschleusen. Auch für SilkLurk verweist Kaspersky auf nachgelagerte Aktivitäten nach der Kompromittierung, die im vorliegenden Text jedoch nicht weiter aufgeschlüsselt werden.

Außerdem fand Kaspersky Überschneidungen in der Infrastruktur zwischen der aktuellen Kampagne und einer früheren Angriffswelle mit dem in C++ geschriebenen Implantat SilentRaid, das auch unter den Namen MystRodX und TrustFall bekannt ist. Nach Einschätzung des Unternehmens deutet das auf gemeinsam genutzte Infrastruktur über mehrere Kampagnen hinweg hin, die unterschiedliche Betriebssysteme angreifen. Ob diese Aktivitäten parallel oder zu verschiedenen Zeiten liefen, sei aber unklar.

Kaspersky hebt zudem hervor, dass beide Malware-Familien überwiegend im Arbeitsspeicher arbeiten. Auf dem Datenträger verbleibt nur ein minimalistischer Loader, der maschinenspezifische Daten nutzt, um Ablageorte und Inhalte der Nutzlast zu dekodieren: OctLurk verwendet dazu die Seriennummer des Laufwerks, SilkLurk den Computernamen. Laut Kaspersky erschwert diese opferspezifische Kodierung die Analyse und die automatisierte Erkennung erheblich.