Nach Angaben von Proofpoint werden die E-Mails von der Adresse compliance@coldcardteamnews.com verschickt und tragen den Betreff „Hardware-Audit jetzt verfügbar“. Darin heißt es, jüngste Erkenntnisse hätten COLDCARD veranlasst, die Integrität von Geräten über alle Hardware-Revisionen hinweg zu überprüfen. Die Opfer werden auf ein angebliches „Werkzeug zur Sicherheitsüberprüfung und Vorfallsmeldung“ verwiesen. Laut E-Mail sei der Vorgang vom Netz getrennt, verlange nicht nach der Wiederherstellungs-Seed und müsse bis zum 10. August abgeschlossen werden.
Ein Klick auf die Schaltfläche zum Aufrufen des Audit-Werkzeugs führt auf die Website coldcardcompliance.com. Dort wird COLDCARD imitiert und zum Start eines „Hardware-Audits“ aufgefordert, das den Download des angeblichen Werkzeugs auslöst. Die Seite enthält zudem eine Live-Chat-Funktion für den „Kundendienst“, über die angeblich Hilfe zu COLDCARD-Geräten angeboten wird.
In von Proofpoint geteilten Chat-Verläufen fragt ein Operator zunächst, ob das Opfer Windows oder macOS nutzt. Windows-Nutzer werden anschließend aufgefordert, das heruntergeladene Werkzeug auszuführen. Meldete ein Nutzer ein schwarzes Fenster und eine Administratorabfrage, erklärte der Operator, diese Abfrage sei zum Start der Installation erforderlich, und forderte dazu auf, auf „Ja“ zu klicken. Proofpoint geht davon aus, dass diese Unterhaltungen eher von echten Menschen als von einem automatisierten Chatbot geführt werden.
Wie Proofpoint auf X mitteilte, lädt die Schaltfläche „Hardware-Audit starten“ eine Batch-Datei namens Coldcard_Diagnostic_Tool.bat von einem GitHub-Konto herunter. BleepingComputer analysierte die 25,7 Megabyte große Datei und stellte fest, dass sie zwei direkt eingebettete, Base64-kodierte Dateien enthält.
Beim Start täuscht das Skript zunächst eine Diagnoseprüfung des Geräts vor. Im Hintergrund prüft es jedoch, ob der Nutzer über Administratorrechte verfügt. Falls nicht, startet es sich per PowerShell mit einer Benutzerkontensteuerungs-Abfrage neu, um erhöhte Rechte anzufordern. Danach speichert das Skript die eingebetteten Dateien in einem zufällig benannten Verzeichnis im Windows-Temp-Ordner als setup.msi und docusign.exe und dekodiert sie mit Windows certutil.
Nach der Installation von setup.msi startet das Skript docusign.exe, zeigt eine Meldung über den Abschluss der Installation an und löscht anschließend das temporäre Verzeichnis. Bei docusign.exe handelt es sich laut Bericht um eine legitime signierte Datei, die einen DocuSign-Druckertreiber installiert und in der Angriffskette als Ablenkung dient.
Die als setup.msi gestartete MSI-Datei ist tatsächlich ein Installationsprogramm für ConnectWise ScreenConnect. Dieses Fernverwaltungswerkzeug verschafft dem Bedrohungsakteur Remote-Zugriff auf das Gerät. Proofpoint zufolge verbindet sich die Installation mit activeretirementrelocation[.]com, dem vom Angreifer genutzten ScreenConnect-Command-and-Control-Server.