Nach Angaben von Blackpoint Cyber begann der Einbruch mit einer Spear-Phishing-Mail, die auf ein verschlüsseltes Archiv verlinkte. Dieses enthielt eine LNK-Datei, die als „Falldokumente“ ausgegeben wurde. Beim Ausführen startete sie eine Befehlsfolge, die PowerShell nutzte, um weitere Komponenten von dem entfernten Server 2.26.252[.]84 abzurufen.

Im Zentrum der ersten Stufe steht HollowFrame, ein modularer Loader und Persistenzrahmen in Go. Die Schadsoftware wird über ein DLL-Side-Loading-Paar aus der legitimen Binärdatei „python.exe“ und der schädlichen DLL „python311.dll“ gestartet. Blackpoint zufolge unterstützt HollowFrame mehrere Methoden zum Laden zusätzlicher Komponenten und führt zugleich Anti-Analyse-Prüfungen durch, um nicht in Sandbox-Umgebungen zu laufen. Bewertet werden dafür unter anderem Systemlaufzeit, installierter Arbeitsspeicher, die Zahl der Dateien im Benutzerprofil und Mausbewegungen. Die Persistenz wird über eine geplante Aufgabe eingerichtet.

Der Loader enthält laut den Forschern einen verschlüsselten Container, der entpackt wird, um eine zweite Side-Loading-Kette zu starten. Darüber wird Matryoshka als „version.dll“ installiert. Diese Rust-basierte Backdoor kommuniziert per HTTP mit dem Kommando-und-Kontroll-Server 45.158.196[.]184:8888, kann eine Shell starten und weitere Werkzeuge ausliefern.

Blackpoint fand außerdem eine zweite DLL namens „wtsapi32.dll“, die im Zusammenhang mit derselben Aktivität stand. Sie wurde als Variante von Matryoshka eingestuft, die ein privates GitHub-Repository mit dem Namen „adioziaete/memio“ nutzt. Darüber ruft die Malware opferspezifische Befehle ab, übermittelt Ergebnisse und lädt zusätzliche Nutzlasten herunter.

Wie Blackpoint erläutert, diente das Repository als Sammlung einzelner Postfächer pro kompromittiertem System. Jedem Opfer war demnach ein eigenes Verzeichnis im Format „<Computer>_<Benutzername>“ zugewiesen. Darin lagen Dateien wie „beacon.json“, „cmd.json“ und „result.json“, teils ergänzt um einen „upload/“-Baum für die Dateizustellung. Diese Struktur erlaubte es dem Betreiber laut Blackpoint, Aufgaben und Resultate je Endpunkt über GitHub zu verwalten, ohne einen eigenen Kommando-Server zu betreiben. Zugleich entstand dadurch eine versionierte Historie der Änderungen, sofern die zugehörigen Commits oder das Repository nicht entfernt wurden.

Die Forscher Nevan Beal und Sam Decker schreiben, HollowFrame und Matryoshka hätten zusammen einen dauerhaften Zugang für die Ausführung entfernter Befehle, die Aufklärung von Active Directory, Dateiübertragungen und die Verteilung nachgelagerter Werkzeuge geschaffen. Blackpoint ergänzt, dass jede Stufe der Kette die in der vorherigen Stufe sichtbaren schädlichen Aktivitäten weiter reduzierte. Gerade diese Trennung erschwere Zuordnung und Erkennung, weil keine einzelne Komponente die gesamte Infektionslogik oder das vollständige Bild der Kommando-und-Kontroll-Infrastruktur enthalte.

Wer hinter der Aktivität steckt, ist laut Blackpoint bislang unbekannt. Eine Abfrage der GitHub-Programmierschnittstelle zum verwendeten Benutzernamen zeigte den Forschern, dass das Konto am 6. Januar 2023 erstellt wurde und die Profilinformationen noch am 7. Juni 2026 aktualisiert worden waren.