Die Angriffsketten beginnen typischerweise mit der Ausnutzung bekannter Lücken, um Codeausführung auf einer Website oder einem verwundbaren IIS-Server zu erreichen. Anschließend läuft ein automatisiertes Skript, das Schadsoftware für SEO-Betrug oder Datendiebstahl installiert. In ausgewählten Fällen setzt die Gruppe zunächst eine Web-Shell ab, über die dann BadIIS und weitere Hintertüren für dauerhaften Zugang nachgeladen werden. Die eingesetzte BadIIS-Variante ist laut Talos exakt jene, die als Malware-as-a-Service angeboten und von mehreren chinesischsprachigen Cybercrime-Gruppen genutzt wird.
Bei den Linux-Angriffen verschafft sich der Akteur ebenfalls über bekannte Schwachstellen Zugang und eskaliert dann per lokaler Rechteausweitung zu Root. Talos nennt dafür CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 und CVE-2022-0847. Zu den im Verlauf der Kampagne ausgenutzten Lücken zählen außerdem CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI für ASP.NET AJAX) sowie CVE-2021-29441 und CVE-2021-29442 (Alibaba Nacos). Mit Root-Rechten folgen Hintertüren wie Noodle RAT — eine Variante von Gh0st RAT und Rekoobe —, SPECTRE und Meterpreter.
Bemerkenswert ist der Umgang mit den Abflusskanälen: „Indem die Angreifer exfiltrierte Daten über einen legitimen cloudbasierten Konfigurationsmanagement-Dienst leiten, vermischt sich ihr Datenverkehr wirksam mit normalen administrativen Vorgängen“, erklärt Talos-Forscher Joey Chen. Diese Infrastruktur diene als asynchrone Sammelstelle: Die Angreifer könnten ihre eigene Nacos-Instanz abfragen, um erfolgreiche Kompromittierungen zu überprüfen, ohne eine dauerhafte Reverse-Shell oder eingehende Verbindungen unterhalten zu müssen.
Auf dem Management-Server fand Talos das KI-gestützte Framework DeepAudit zur Schwachstellensuche — allerdings keine Hinweise darauf, dass damit gefundene Lücken in Opferumgebungen ausgenutzt wurden. Denkbar sei sowohl eine künftige Nutzung gegen Ziele als auch eine Prüfung der eigenen Infrastruktur gegen andere Angreifer. Auf dem C2-Server war zudem PentestGPT installiert, um Webserver zu scannen und passende Proof-of-Concept-Exploits auszuführen. Hinzu kommen vier KI-generierte Python-Skripte: ein Diagnosewerkzeug für Fehler beim Schreiben von Web-Shells, ein Skript, das über ViewState-Deserialisierung das SPECTRE-Implantat lädt, eines, das damit eine ASHX-Web-Shell auf IIS-Servern ablegt, und eines, das Exfiltration im HTTPS-Verkehr legitimer SaaS-Dienste tarnt und Angaben zu IIS-Sites und Rechten an einen Webhook sendet.
SPECTRE selbst ist laut Talos eine plattformübergreifende Hintertür in C mit Verschleierung und Anti-Analyse-Techniken; sie spricht per HTTPS mit dem C2-Server und beherrscht bis zu 45 Befehle. Der erste Einsatz durch die Gruppe datiert auf April 2026. Die Windows-Version kann unter anderem Tastatureingaben mitschneiden, Screenshots anfertigen, Shellcode injizieren, Process Hollowing und Early-Bird-APC-Injection nutzen und sich selbst löschen. Zum Abschalten von Sicherheitsprozessen dient die BYOVD-Technik mit den anfälligen Treibern RTCore64.sys von MSI (CVE-2019-16098) und DBUtil_2_3.sys von Dell (CVE-2021-21551). Durch gezielte Kernel-Schreibzugriffe hänge SPECTRE registrierte EDR-Callbacks aus der verketteten Liste aus, so Talos — Produkte wie CrowdStrike Falcon, SentinelOne und Microsoft Defender seien danach für Prozess- und Thread-Erzeugung sowie Image-Ladevorgänge vollständig blind.
Die Linux-Variante unterstützt 29 Befehle und bringt ein Kernel-Rootkit namens Specter als Kernelmodul mit, das laut Talos dauerhafte Kontrolle über Neustarts hinweg gewährt. Beide Versionen bewerten ihre Umgebung mit einem gewichteten Punktesystem — anhand von Prozessnamen-Sperrlisten, Arbeitsspeicher, CPU-Kernen, Plattenplatz, Sleep-Beschleunigung sowie typischen Sandbox-Hostnamen und -Benutzernamen — und beenden sich bei mehr als 50 Punkten selbst. Kommentierter Quellcode, einheitliche Trennlinien und mehrere Wege zum selben Ziel deuten für Talos auf eine Mischung aus KI-gestützter Entwicklung und menschlicher Expertise hin.