Neben der Infrastruktur stieß Group-IB auf neue Schadsoftware-Proben, die der Gruppe zugeordnet werden. Darunter befindet sich eine Hintertür, die einem Werkzeug namens TwoStroke ähnelt. Dieses war zuvor von den Bedrohungsanalysten von Google dokumentiert worden. Der neu entdeckte Fund zeigt nach Einschätzung von Group-IB, dass Tortoiseshell die Hintertür weiterhin einsetzt.
Die Schadsoftware verschafft den Angreifern weitreichende Kontrolle über infizierte Rechner: Sie können Befehle ausführen, Dateien herunterladen und entwenden, Verzeichnisse durchsuchen und Informationen über die betroffenen Systeme sammeln.
Zusätzlich identifizierten die Forscher ein Werkzeug, das einen sogenannten Reverse-SSH-Tunnel zwischen infizierten Rechnern und einer von den Angreifern kontrollierten Infrastruktur aufbaut. Solche Tunnel stellen eine verschlüsselte Verbindung aus dem Inneren eines kompromittierten Netzwerks zu einem Server der Angreifer her. Der Datenverkehr lässt sich damit über die infizierte Maschine zurückleiten, wodurch die Angreifer potenziell weitere Systeme im Netz des Opfers erreichen und zugleich Schutzmechanismen umgehen können, die eingehende Verbindungen blockieren sollen.
Aus der Kombination von neu entdeckter Infrastruktur und den eingesetzten Werkzeugen schließt Group-IB, dass Tortoiseshell sowohl seine geografische Reichweite als auch seine technischen Fähigkeiten ausbaut. Die Gruppe war von Sicherheitsforschern bereits früher mit Operationen zur Unterstützung des iranischen Korps der Islamischen Revolutionsgarden in Verbindung gebracht worden.
Ob die in Großbritannien, Belgien, Saudi-Arabien und den Vereinigten Arabischen Emiraten gefundenen Server bereits für konkrete Angriffe genutzt wurden, lässt der Bericht offen. Die Namensgebung der Systeme erlaube für sich genommen keine Aussage darüber, gegen wen sich die Aktivitäten richteten.