Nach Darstellung von SOCRadar beginnen die beobachteten Angriffe mit einem ZIP-Archiv, das eine auf LNK-Dateien basierende Infektionskette auslöst. Die Erstkompromittierung erfolgt den Forschern zufolge wahrscheinlich über Phishing. Die Kette führt über zwei getrennte Wege zu den beiden Trojanern — in beiden Fällen wird ein PowerShell-Skript aus FTP-Bannern nachgeladen.
E4del ist ein in Node.js geschriebener Trojaner, der in einer digital signierten Electron-Anwendung steckt und sich als Discord ausgibt. Er kann Befehle in dauerhaften oder temporären Shells ausführen, Screenshots anfertigen, den Desktop über WebSockets übertragen sowie weitere Schadmodule herunterladen und starten. Erwähnt wird außerdem ein Node.js-Modul namens crypto32.node, das eine Rechteausweitung versucht; die Forscher konnten es nicht für eine Analyse beschaffen.
PINHOLE bezieht seine Konfiguration für die Befehls- und Kontrollserver aus Pinterest-Pins und Fragen von SurveyMonkey-Umfragen — eine Taktik, die flexibel ist und Abschaltversuchen widersteht. Auf dem befallenen System hinterlässt die Schadsoftware nur minimale Spuren: Über sogenannte Shellcode-Fluktuation hält sie jeweils nur einen 4 KB großen Abschnitt der Nutzlast im Speicher. Das finale Assembly wird per Early-Bird-APC-Injection in einen angehaltenen Prozess von ApplicationFrameHost.exe eingeschleust.
PINHOLE beherrscht 14 Befehle, darunter das Auflisten von Dateien, Up- und Download von Dateien, Befehlsausführung, Prozessverwaltung, Screenshots sowie das Ausrollen eines Moduls, das im Browser gespeicherte Zugangsdaten abgreift. Zum Zeitpunkt der Analyse zählte das PINHOLE-Skript lediglich elf Ausführungsereignisse — ein Hinweis darauf, dass sich die Kampagne noch in einem frühen Stadium befand.
Den Missbrauch von FTP-Bannern bewertet SOCRadar als neuartige, aber weniger unauffällige Alternative zu klassischen webbasierten Dead-Drop-Resolvern wie X, GitHub oder YouTube: FTP-Verbindungen zu unbekannten Servern fallen im Netzwerkverkehr eher auf. “Während Angreifer üblicherweise legitime Webdienste wie X, GitHub oder YouTube nutzen, um sich im erwartbaren, hochvolumigen Netzwerkverkehr zu tarnen, stellen FTP-Banner eine neuartige Alternative dar”, schreiben die Forscher.
Die Technik sei sehr vielseitig und lasse sich nach Einschätzung von SOCRadar “leicht” für ClickFix-Kampagnen mit Social-Engineering-Charakter anpassen. Der Bericht enthält Kompromittierungsindikatoren, mit denen Verteidiger die eingesetzte Infrastruktur sowie infizierte Rechner im eigenen Netzwerk identifizieren können.