SOCRadar geht davon aus, dass der Dienst seit Anfang Juni 2026 aktiv ist. Die Kernentwickler sollen den Operatoren Lizenzen und einen Client-Agenten bereitstellen, mit denen sich Kampagnen erstellen und Nutzlasten über in ClickFix-Landingpages eingebetteten Code laden lassen. Jede Lizenz besitzt laut Bericht einen eindeutigen Schlüssel und enthält Metadaten wie die IP-Adresse des Kunden, aktive Tage, Bezeichnung und Versionsangabe; pro Lizenz lassen sich mehrere Kampagnen orchestrieren.
Ausgangspunkt der Untersuchung war laut SOCRadar ein offenes Verzeichnis unter „213.139.77[.]109:9090“, in dem mehrere Testdateien lagen, die später als Teil des DOUBLECUP-Lizenzpanels identifiziert wurden. Der in Go entwickelte Windows-GUI-Client bietet den Betreibern demnach Funktionen zum Aktualisieren von Konfigurationen und der Software sowie zum direkten Versenden von Befehlen über eine Broadcast-Oberfläche. Über einen Payload-Builder lassen sich unter anderem Domain, Slug, Steganografie-Methode, Einbettungstyp, Archivformat, Aktion und Nutzlast-URLs festlegen.
Dadurch entsteht laut SOCRadar ein Konfigurationsendpunkt nach dem Muster „https://{domain}/{slug}/api/config“. Ein GET-Aufruf liefere die DOUBLECUP-Konfiguration zurück, darunter die URL des steganografischen Bildes auf der Ziel-Domain, die Bildgröße, den Session-Endpunkt und browserspezifische Befehle für Chrome, Edge, Firefox, Brave und Opera. Damit die Kette funktioniert, müssen Operatoren zudem den erforderlichen Frontend-Code in ihre ClickFix-Seite einbauen. Zusätzliche Verschleierungs- oder Anti-Analyse-Funktionen in den Nutzlasten liegen laut Bericht in der Verantwortung der jeweiligen Betreiber.
Für die Nachverfolgung von Besucherzugriffen, das Versenden von Befehlen, die Auslieferung von Schlüsseln und den Empfang von Rückmeldungen zu Nutzlasten wird ein Telegram-Bot namens „@harrypoterlohBOT“ verwendet. SOCRadar zufolge wird dieser Bot von einem Bedrohungsakteur mit dem Namen „johnnysilverhe“ verwaltet, der zudem eine verdächtige Microsoft-Visual-Studio-Code-Erweiterung namens Agent IDE im offiziellen Marketplace veröffentlicht haben soll.
Bei beobachteten Kampagnen kamen gefälschte Seiten zum Einsatz, die CRM-Anmeldeseiten von NetSuite, Odoo, HubSpot und Salesforce imitierten. Über eingebettete iframe-Elemente wurde der Loader ausgeliefert und anschließend ClickFix-Befehle bereitgestellt. Nach deren Ausführung durchsucht die Schadkette den Browser-Cache nach dem PNG-Bild und extrahiert daraus bösartiges JavaScript, VBScript oder PowerShell, um die nächste Stufe zu starten. Danach wird der C2-Server über eine erfolgreiche Infektion informiert; die zweite Stufe fungiert als Dropper, legt eine verschlüsselte Nutzlast ab und leitet das Opfer auf eine Zielseite weiter.
Eine über DOUBLECUP verteilte Malware-Familie ist eine aktualisierte Windows- und macOS-Version von CountLoader. SOCRadar schreibt ihr neue Funktionen zu, darunter Persistenz über geplante Aufgaben, die Überprüfung installierter Browser-Erweiterungen auf Kryptowallets sowie Host-Profilerstellung, um festzustellen, ob die Desktop-App von Signal installiert ist. Außerdem enthält CountLoader laut Bericht eine Funktion, die Desktop- und Startmenü-Verknüpfungen populärer Browser nach .LNK-Dateien durchsucht und deren Ziel so umschreibt, dass beim Doppelklick heimlich sowohl der Browser als auch der RAT im Hintergrund gestartet werden. Diese Funktion werde jedoch nie aufgerufen und könnte daher unvollständig oder toter Code sein.
Das Hauptziel von CountLoader besteht laut SOCRadar darin, sich mit einem C2-Server zu verbinden, Systemmetadaten zu sammeln und abzuziehen sowie auf weitere Aufgaben des Operators zu warten. Dazu kann die Malware sekundäre EXE-, DLL-, MSI- oder HTA-Dateien ausführen, ein komprimiertes Archiv herunterladen, dessen Inhalt entpacken und die Hauptbinärdatei im extrahierten Ordner starten. Zudem kann sie Persistenzmechanismen entfernen, vermutlich um forensische Spuren zu beseitigen. Für macOS existiert laut Bericht eine funktionsgleiche Variante, die Persistenz- und Aufklärungsmethoden an Apples Desktop-System anpasst.
Die zweite über DOUBLECUP verteilte Nutzlast ist der modulare, in Python geschriebene RAT DeviceManager. Er wird als mit Delphi kompiliertes Inno-Setup-Installationsprogramm verbreitet, das die verschlüsselte Nutzlast einbettet. Nach dem Start entpackt es eine vollständige Python-Umgebung, um die Malware auszuführen. Gleichzeitig vermeidet DeviceManager bewusst die Ausführung auf Systemen mit Sprachumgebungen aus den Staaten der Gemeinschaft Unabhängiger Staaten. Wird eine solche Sprache erkannt, löscht sich die Malware laut SOCRadar selbst, entfernt ihre geplante Aufgabe, löscht ihr Installationsverzeichnis über cmd.exe und beendet die Ausführung.
Anschließend sammelt DeviceManager umfangreiche Geräteinformationen, nutzt EtherHiding zur Ermittlung des C2-Servers „91.92.240[.]100“ und kommuniziert per DNS oder HTTP, um Systemdaten abzuziehen, Aufgaben abzurufen, weitere Nutzlasten herunterzuladen, Ergebnisse von Befehlen zu senden und den Aufgabenstatus zu melden. DeviceManager kann PowerShell- und Python-Skripte ausführen sowie von Operatoren ausgegebene Befehle an „cmd.exe“ weiterreichen. SOCRadar bewertet DOUBLECUP als Beispiel für die wachsende Reichweite von ClickFix-Kampagnen und hebt hervor, dass der Dienst mit Steganografie und umgebungsabhängiger Schlüsselableitung gezielt auf Umgehung von Schutzmechanismen ausgelegt ist.