Im Zentrum der Kampagne stehen sieben Implantate in vier Programmiersprachen: .NET, C++, Go und JavaScript. Fast alle eingesetzten Werkzeuge folgen laut Bitdefender einer Plugin-Architektur, mit der die Angreifer Funktionen gezielt erweitern und Nutzlasten an die jeweilige Zielumgebung anpassen können. Das senkt den Erkennungsfußabdruck und erlaubt es zugleich, einzelne Komponenten aufzurüsten, ohne die grundlegende Basis austauschen zu müssen.

Als zentrales technisches Merkmal nennt Bitdefender DLL-Sideloading. Die Angreifer bringen dabei eine eigene Kopie eines legitim signierten Programms mit, statt eine bereits installierte Binärdatei zu missbrauchen. Neben der Anwendung platzieren sie eine präparierte DLL unter einem Namen, nach dem die ausführbare Datei sucht, sodass der schädliche Code geladen wird. Bitdefender bezeichnet genau diese Kombination als die verlässlichste Erkennungsfläche der Kampagne: ein legitim signiertes Programm, das aus einem ungewöhnlichen Verzeichnis heraus eine daneben abgelegte Bibliothek lädt.

Die Angriffskette beginnt mit passwortgeschützten RAR-Archiven, die schädliche Microsoft-Office-Dokumente enthalten und nach Einschätzung von Bitdefender wahrscheinlich per Spear-Phishing verschickt werden. Das Passwort zum Öffnen steht im Text der E-Mail. Wird das Dokument geöffnet, startet ein Makro, das die DLL-Sideloading-Kette auslöst und die Nutzlast der ersten Stufe ablegt. Die Köderdokumente seien regional zugeschnitten gewesen: Wiederhergestellte Dateien wirkten relevant für Behörden in Usbekistan, Turkmenistan, Kirgisistan, Tadschikistan und Kasachstan; mehrere gaben sich als konkrete Ministerien aus. Ein weiteres Dokument, das auf einer öffentlichen Malware-Sharing-Plattform gefunden wurde, war an eine georgische Regierungsstelle adressiert.

Vor der Ausführung prüft das Makro nach Angaben von Bitdefender zudem, ob die Antivirensoftware von Kaspersky auf dem System installiert ist und läuft. Das deute auf Versuche hin, Erkennung zu umgehen, da das Programm in der Region weit verbreitet sei.

Für eine Zuordnung zu China spricht laut Bitdefender unter anderem die Verwendung der Backdoor BLOODALCHEMY. Dabei handelt es sich um eine aktualisierte Version von Deed RAT, das wiederum als Nachfolger von ShadowPad gilt; ShadowPad selbst ist eine Weiterentwicklung von PlugX. Sowohl ShadowPad als auch PlugX werden laut Bericht breit von chinesischen Hackergruppen eingesetzt. Elastic Security Labs hatte BLOODALCHEMY erstmals im Oktober 2023 dokumentiert und die Backdoor in Angriffen von REF5961 auf Regierungsorganisationen in Süd- und Südostasien beobachtet. Die in C geschriebene Backdoor gehört demnach zu einem größeren Werkzeugsatz, der über einen DLL-Loader gestartet wird, der per Sideloading zusammen mit einer legitimen Binärdatei ausgeführt wird. Die Malware beherrscht grundlegende Befehle zum Sammeln von Host-Informationen, zum Überschreiben der Malware-Binärdatei, des Loaders oder der vertrauenswürdigen Hauptanwendung sowie zum Beenden und Deinstallieren.

Ein weiterer Hinweis auf einen China-Bezug ist laut Bitdefender eine aktualisierte Version von SpiceRAT. Diese Schadsoftware kann ausführbare Dateien herunterladen und starten sowie beliebige Befehle ausführen. Zugeschrieben wird SpiceRAT dem chinesischsprachigen Bedrohungsakteur SneakyChef.

Bitdefender verweist außerdem auf Hinweise auf KI-Unterstützung in einzelnen Werkzeugen. GoginRAT enthält demnach Go-Testfunktionen und einen fest kodierten AES-Schlüssel mit dem Wert „0123456789abcdef“, NodeEdgeRAT wiederum ein Konfigurationsfeld für einen Verschlüsselungsschlüssel mit dem wörtlichen Inhalt „change_this_key“. Hinzu kommt, dass NomadRAT und GoginRAT eine ähnliche Architektur teilen, was darauf hindeute, dass ein übergeordnetes Design in zwei Sprachen umgesetzt wurde.

Nach Angaben von Bitdefender wurden rund 65 mit DriveSilkRAT infizierte Instanzen beobachtet, die meisten davon in Asien. Die Forscher verorten SilkParasite als dritten auffälligen Akteur, der in den vergangenen Jahren Zentralasien angegriffen hat, nach UAC-0063 und FamousSparrow. Weil die Implantate mit geringem Fußabdruck arbeiten und legitime Cloud-Dienste nutzen, seien volumenbasierte Erkennungsmethoden laut Bitdefender wenig wirksam. Entscheidend seien stattdessen Verhaltensprofile, die ungewöhnliche Beziehungen zwischen Prozessen und Netzwerkdiensten sichtbar machen.