Kern von WordlistLoader ist laut dem Bericht von Gen Threat Labs eine ungewöhnliche Verschleierungstechnik: Der Loader „rekonstruiert Shellcode, der als Einsprungpunkt für die nachfolgenden Stufen dient“. Dazu enthält er eine Reihe harmlos wirkender englischer Wörter, die sich unmittelbar vor der Ausführung wieder in lauffähigen Code zurückübersetzen lassen.
„Die Zuordnung von englischen Wörtern zu Byte-Werten wird durch eine buildspezifische Wortliste aus 256 verschiedenen Wörtern definiert: Das Wort an Index 0 dekodiert zu 0x00, das Wort an Index 144 zu 0x90 und so weiter“, erläutert Krejsa. „Sowohl die Wortliste als auch die kodierte Sequenz werden als Zeiger-Arrays gespeichert, sodass der Loader Adressen abgleicht und nicht die Zeichenketten selbst.“ Der Wiederaufbau des Shellcodes laufe damit darauf hinaus, die Wortfolge zu durchlaufen, jedes Wort in der Liste nachzuschlagen und den Index des passenden Eintrags in den Ausgabepuffer zu schreiben.
Neben dieser Rekonstruktion nennt Gen drei weitere Kernfunktionen. WordlistLoader entfernt sogenannte Hooks aus geladenen Modulen — viele Sicherheitsprodukte klinken sich damit zur Überwachung in Betriebssystemfunktionen ein. Hinzu kommt eine Umgehung von Event Tracing for Windows, der in Windows eingebauten Protokollierungsfunktion, auf die Sicherheitswerkzeuge zur Beobachtung von Systemaktivität zurückgreifen. Schließlich bringt die Schadsoftware diverse Anti-Emulations- und Anti-Analyse-Tricks mit, die die Erkennung zusätzlich erschweren.
Der Verbreitungsweg ist typisch für ClearFake: Das Cluster kompromittiert legitime Websites und platziert dort gefälschte CAPTCHA-Köder, die Nutzer per Social Engineering im ClickFix-Stil dazu bringen, schädliche Befehle selbst auszuführen. Damit ähnelt die Kampagne jener, die Proofpoint vor einem Jahr offenlegte.
Selena Larson, leitende Bedrohungsforscherin bei Proofpoint, sagt gegenüber Dark Reading, Angriffe im ClickFix-Stil seien zu einem festen Bestandteil des Werkzeugkastens der Angreifer geworden. Proofpoint habe die Technik bereits 2024 in sein eigenes Awareness-Training ZenGuide aufgenommen. „Wenn Organisationen ClickFix noch nicht in ihre Sicherheitsschulungen einbauen, sollten sie das unbedingt tun. Nach Gesprächen mit verschiedenen Organisationen und Sicherheitsteams ist die Mehrheit sich dessen bewusst“, sagt sie. ClickFix und verwandte Techniken zählten sowohl per E-Mail als auch über Web-Injects zu den beliebtesten Methoden für den Erstzugang.
Seit 2025 werde Amatera laut Larson von mehreren fortgeschrittenen Cybercrime-Akteuren eingesetzt. Sowohl sie als auch Gen weisen darauf hin, dass die Schadsoftware kontinuierlich weiterentwickelt wird — die Verbesserungen zielen überwiegend auf Tarnung.
„Stealer werden immer beliebter, aber die Landschaft verschiebt sich rasant“, so Larson. Stealer könnten an Wirksamkeit verlieren, wenn Erkennung und Bewusstsein zunähmen und die Schadsoftware nicht regelmäßig zur Umgehung von Abwehrmaßnahmen gepflegt werde. Zudem hätten Strafverfolgungsmaßnahmen gegen verbreitete Familien wie StealC, Rhadamanthys und Lumma Stealer die Akteure zum Ausweichen gezwungen — was anderen Infostealern zu größerer Verbreitung verholfen habe.