Die LNK-Datei ruft den Befehl der nächsten Stufe aus einem FTP-Banner ab. Dieser stellt eine Verbindung zu einem WebDAV-Server her, um über „rundll32.exe“ mittels conhost einen DLL-Export herunterzuladen und auszuführen. Denselben WebDAV-Ansatz nutzt laut Microsoft und Gen Threat Labs auch eine ClearFake-Kampagne, die WordlistLoader und Amatera Stealer über ClickFix-Köder verteilt. Der Cluster kompromittiert legitime Websites und platziert dort gefälschte CAPTCHA-Abfragen, die Nutzer per Social Engineering zur Ausführung schädlicher Befehle bringen.
Bei E4del beschreibt SOCRadar eine mehrstufige Kette: Das FTP-Banner unter „157.254.194[.]31:21“ verweist auf ein zweites Banner unter „167.148.41[.]164:21“, das per PowerShell ein Archiv herunterlädt, entpackt und die enthaltene Binärdatei startet. Am Ende steht E4del selbst – ein in Node.js geschriebener RAT, eingebettet in eine digital signierte Electron-Anwendung, die sich als Discord ausgibt.
Der Trojaner beherrscht Erkennungsumgehung, Persistenz, System-Fingerprinting und verschlüsselte C2-Kommunikation. Über diese empfängt er Befehle für eine interaktive Reverse Shell, Screenshots, Live-Übertragung des Desktops, Dateidownloads und das Nachladen weiterer Schadkomponenten. „Der Beaconing-Mechanismus ist hochgradig dynamisch und setzt ein gestuftes Jitter-System ein, um sich in den normalen Netzwerkverkehr einzufügen“, schreibt SOCRadar. Der RAT wechsle je nach verstrichener Zeit seit dem letzten Auftrag zwischen drei Zuständen: In den ersten 20 Sekunden nach einem Befehl meldet er sich im Modus „Aktiv“ in zufälligen Abständen zwischen 200 Millisekunden und 2 Sekunden. Bleiben 20 bis 40 Sekunden lang neue Aufträge aus, verlängert sich das Intervall im Zustand „Halbaktiv“ auf 2 bis 5 Sekunden; nach 40 Sekunden ohne Aktivität schaltet er in den Modus „Inaktiv“ mit Abständen von 5 bis 9 Sekunden.
Die zweite Familie, PINHOLE, gilt den Forschern als fortgeschrittener. Sie nutzt zusätzlich reputationsstarke Plattformen wie Pinterest und SurveyMonkey als Dead Drop Resolver und leitet die Kommunikation über Cloudflare Workers. Das FTP-Banner unter „209.99.185[.]38:21“ enthalte Befehle, die über das COM-Objekt MSXML2.XMLHTTP in PowerShell ein weiteres Skript von „hxxps[://]cloudflare.milicare[.]in/app/c“ nachladen, so SOCRadar: „Dieses Skript wird als %TEMP%u.cmd gespeichert, ausgeführt und anschließend gelöscht, um forensische Spuren zu minimieren.“
Das Skript entpackt die Hauptlast. Deren erste Stufe gibt sich als Update-Werkzeug einer nicht existierenden Firma namens Weston Computing Systems Ltd. aus und setzt die Halo’s-Gate-Technik ein, um Sicherheitssoftware zu umgehen. Nach sechs Entpackungsschichten liegt eine 119 KB große native x86-64-PE-Datei vor, die per Early Bird APC Injection in einen legitimen, angehaltenen Prozess eingeschleust wird. KPMG Israel beschreibt das Verfahren als Weiterentwicklung der klassischen APC-Injektion: Ein Kindprozess werde im angehaltenen Zustand erzeugt und mit Shellcode versehen, der später über asynchrone Prozeduraufrufe ausgeführt werde – so lasse sich klassische Antiviren- und EDR-Erkennung umgehen, die auf einfachere Shellcode-Muster ausgelegt sei.
Der eingeschleuste Code trägt die eigentliche RAT-Funktionalität. PINHOLE kommuniziert per HTTP-GET- und POST-Anfragen mit dem C2-Server, lädt Dateien hoch und herunter und ruft ein bislang nicht näher bestimmtes Browser-Stealer-Modul ab. Der Befehlssatz umfasst 14 Kommandos, darunter das Auflisten von Dateien, Verzeichnissen und Prozessen, rekursive Dateisuche, Exfiltration und Löschen von Dateien, Beenden eines Prozesses per PID, Screenshots sowie das Ausführen von PowerShell-Befehlen und das Starten einer PowerShell-Sitzung über anonyme Pipes.
Die Betreiber unterhalten zudem ein eigenes „FTP Stats Panel“ unter „69.48.228[.]126:5000“, das Skriptausführungen, Gesamtverbindungen sowie eindeutige aktive oder blockierte IP-Adressen ausweist. Zum Analysezeitpunkt verzeichnete es lediglich 11 Ausführungsereignisse – ein Hinweis darauf, dass die Kampagne noch am Anfang steht. Der Erstzugriff erfolge bislang über Phishing mit Verknüpfungsdateien, doch, so SOCRadar, Angreifer könnten den Missbrauch von FTP-Bannern ebenso gut für ClickFix-Kampagnen anpassen.