Nach Angaben von Securonix Threat Research stützt sich SMOKE#SCREEN auf ein Toolkit aus VBScript-Droppern, Batch-Datei-Loadern, kompilierten .NET-Programmen und einer HTML-Phishing-Seite. Alle Pfade verweisen letztlich auf einen aktiven Staging-Server auf Basis von WsgiDAV unter 207.174.0[.]143:8080. Securonix begann die Untersuchung nach eigenen Angaben mit der Entdeckung dieses Servers, der sowohl schädliche Nutzlasten bereitstellte als auch über ein ScreenConnect-Relay auf Port 8041 die Kommando- und Kontrollfunktion für bereits infizierte Systeme übernahm.
Die Angriffe enden laut dem Bericht mit der Installation eines ScreenConnect-Agenten, der sich bei einem von drei angreiferkontrollierten Relay-Servern meldet. Eine Analyse der in MSI- und EXE-Dateien eingebetteten ScreenConnect-Relay-Konfigurationszeichenfolgen zeigte drei getrennte C2-Cluster, jeweils verknüpft mit Tarnprogrammen aus den Themenfeldern Software-Update, Dokumentenprüfung und Dokumentbetrachter.
Als anfänglichen Zugangsweg bewertet Securonix Spear-Phishing. Die E-Mails liefern einen verschleierten VBScript-Dropper, der zunächst Umgebungs- und Anti-Analyse-Prüfungen ausführt, laufende Prozesse erfasst und den Start bei bestimmten aktiven Programmen abbricht. Besteht die Umgebung diese Prüfungen, entschlüsselt das Skript einen PowerShell-Befehl, lädt eine C#-Nutzlast von 207.189.11[.]170 nach und führt sie aus. In anderen beobachteten Fällen setzten die Angreifer auf geschäftsbezogene Köder, die Empfänger zur Ausführung eines VBScript verleiten, das ebenfalls in einer ScreenConnect-Installation endet.
Ein drittes Sample wurde als komprimiertes Archiv verteilt. Daraus wird ein Batch-Skript gestartet, das die Windows Antimalware Scan Interface (AMSI) deaktivieren, über eine UAC-Abfrage Rechte erhöhen, SmartScreen-Schutz über Registry-Änderungen abschalten und anschließend den alternativen Datenstrom Zone.Identifier aus der heruntergeladenen MSI-Datei entfernen soll, bevor diese ausgeführt wird.
Bei der Zustellung wechselte der Akteur laut Securonix zudem über mehrere vertrauenswürdige Hosting-Dienste. Eine frühe Phishing-Seite mit dem Namen „zoom-update.html“ lieferte ihre Nutzlast über einen geteilten Dropbox-Link aus und umging damit Reputationsfilter für Domains, weil Dropbox in vielen Unternehmensumgebungen auf Zulassungslisten steht. Außerdem verweist ein kompilierter .NET-Loader namens „MemoryLoader.cs“ auf einen Cloudflare Quick Tunnel unter subscription-magnetic-recommended-meat.trycloudflare.com. Auf dem Staging-Server lief nach Angaben von Securonix auch cloudflared.exe, was den direkten Einsatz des Cloudflare-Binaries zur Erzeugung kurzlebiger Tunnel belege.
Unabhängig vom jeweiligen Köder führen alle beobachteten Wege laut Securonix zum selben Ziel: zur Installation des ScreenConnect-Clients, der dem Operator eine Remotedesktop-Sitzung auf dem Rechner des Opfers ermöglicht. Bemerkenswert sei dabei die Entwicklung der Angriffstechnik. Securonix beschreibt einen Bogen „von vorsichtigen, mit XOR verschlüsselten VBScript-Droppern über aggressive, neun Schritte umfassende Sequenzen zur Zerstörung von Defender bis hin zu einer jüngsten Rückkehr zur Tarnung mit Anti-EDR-Zeitsteuerung und in sich geschlossenen verschlüsselten Paketen“.
Bitdefender beschreibt unabhängig davon eine andere Kampagne, in der gefälschte Xeno-Executor-Installer über Gaming-Foren und Discord-Gemeinschaften beworben werden. Statt eines Cheats startet eine Datei „xeno.exe“ die erste Stufe der Malware. Diese prüft auf eine Java-Laufzeitumgebung, entpackt bei Bedarf eine mitgelieferte Umgebung und liest anschließend aus der lokalen Datei „XenoIcon.jpg“ die Schlüssel aus, die zur Validierung gegenüber dem C2-Server solthere[.]net erforderlich sind. Danach startet sie eine verschleierte JAR-Datei, die als „decompiler.exe“ getarnt ist, Umgebungsprüfungen ausführt, das Opfer registriert und die letzte Nutzlast nachlädt.
Die dritte Stufe ist laut Bitdefender ein Java-basierter Stealer mit Überwachungsfunktionen. Powercat kann sensible Daten abgreifen, Bildschirmfotos und Webcam-Aufnahmen sammeln, den Desktop des Opfers streamen sowie Tastatur- und Mausaktivitäten überwachen. Hinzu kommen Datei-Uploads und -Downloads, Befehlsausführung über PowerShell und eine interaktive Shell, die den Angreifern vollständige Kontrolle über den Host gibt. Zielanwendungen werden nach Angaben von Bitdefender anhand der auf dem System installierten Software ausgewählt. Für Exodus-Krypto-Wallets prüft der Stealer etwa gezielt, ob Version 26.1.5 installiert ist; falls ja, entpackt er das Archiv „app.asar“ und injiziert JavaScript, um gültige Token abzugreifen und an den C2-Server zu exfiltrieren.