Nach Erkenntnissen von Bitdefender verbreiten die Angreifer die gefälschten Installer als ZIP-Archive mit Anleitungen oder als selbstextrahierende Archive, die ihren Inhalt automatisch entpacken. Die Pakete sind so aufgebaut, dass sie einer echten Xeno-Installation ähneln: Sie übernehmen die Verzeichnisstruktur eines legitimen Setups, enthalten teils echte Lua-Skripte und nutzen plausible Dateinamen.

Der entscheidende Köder ist eine Datei namens „xeno.exe“. Wer sie in dem Glauben startet, das echte Xeno-Programm auszuführen, aktiviert in Wirklichkeit die erste Stufe des Angriffs. Diese Komponente prüft zunächst, ob eine Java-Laufzeitumgebung vorhanden ist. Falls nötig, wird eine solche entpackt. Anschließend liest die Malware eine lokale Datei aus, die Validierungsschlüssel für den Command-and-Control-Server der Angreifer enthält.

Danach startet ein verschleiertes Java-Programm, das als „decompiler.exe“ getarnt ist. Dieses zweite Stadium nimmt Umgebungsprüfungen vor, registriert das Opfer bei der Infrastruktur der Angreifer und lädt schließlich die eigentliche Nutzlast nach. Bei dieser Endstufe handelt es sich laut Bitdefender um eine Java-basierte Kombination aus Remote-Access-Trojaner und Infostealer.

Die Schadsoftware verbindet damit zwei Funktionen: Sie stiehlt Zugangsdaten und sensible Informationen und bietet zugleich Überwachungs- sowie Fernverwaltungsfunktionen. Bitdefender beschreibt die Kampagne als gezielte Ansprache von Roblox-Nutzern, die nach einer Version von Xeno suchen, die nicht von Roblox erkannt wird.

Bitdefender geht davon aus, dass es sich um dieselbe Kampagne handelt, die ThreatLocker zuvor unter dem Namen „Powercat“ dokumentiert hatte. Nach Einschätzung der Forscher wurde die Malware jedoch deutlich weiterentwickelt. Bitdefender verweist auf wesentliche Aktualisierungen der Fähigkeiten sowie auf eine neue Command-and-Control-Infrastruktur, was auf eine fortlaufende Evolution der Kampagne hindeute.

Das Sicherheitsunternehmen hat Indikatoren für eine Kompromittierung zu der Kampagne veröffentlicht. Zudem rät Bitdefender Roblox-Spielern, keine Werkzeuge von Drittanbietern aus unklaren Quellen zu installieren. Mehr Angaben zu konkreten Opferzahlen oder einzelnen Vorfällen enthält der Bericht nicht.