Die Infektionskette beginnt mit der gefälschten CAPTCHA-Abfrage. Der ausgeführte PowerShell-Befehl lädt ein ZIP-Archiv herunter, das eine legitime, signierte ausführbare Datei und eine bösartige DLL enthält. Diese DLL entschlüsselt eine verschleierte Nutzlast und startet sie direkt im Speicher.
Für die zweite Stufe greifen die Angreifer auf Steganografie zurück: Ausführbare Dateien und DLL-Fragmente stecken in den Pixeldaten von drei PNG-Bildern. Das Skript lädt diese Bilder vom Command-and-Control-Server herunter und setzt die eingebetteten Nutzlasten auf der Festplatte wieder zusammen.
Persistenz verschafft sich die Schadsoftware doppelt — über eine geplante Aufgabe und einen Registry-Run-Key, die stündlich ausgeführt werden. Im laufenden Betrieb sucht sie nach Domänencontrollern, Datenbanken, Backup-Servern, Gateways und Mailsystemen, sammelt Systeminformationen und liest Active Directory aus.
Die wichtigste Komponente ist ein eigens entwickeltes Reverse-Tunnel-Modul in Python. Es verbindet sich über einen verschlüsselten WebSocket zu der ausgehenden Adresse gitnow[.]dev:443 und unterstützt beliebiges TCP-Proxying im Stil von SOCKS5. Damit kann der Angreifer den kompromittierten Rechner anweisen, interne IP-Adressen, Hostnamen und Ports anzusprechen, die vom Opfersystem aus erreichbar sind.
Der Tunnel bündelt mehrere Verbindungen über einen einzigen WebSocket, rotiert realistisch wirkende Browser-User-Agent-Kennungen und verfügt über Keepalive-Funktion sowie eine Möglichkeit zur Fernabschaltung.
Zur Abwehr empfiehlt Microsoft, die Ausführung von PowerShell einzuschränken und zu protokollieren sowie die Datei ‚LockScreenContentServer.exe‘ zu überwachen, wenn sie außerhalb ihres üblichen Pfades auftritt. Zusätzlich raten die Forscher zur Härtung von Browsern und Endpunktschutz.
Ist eine Kompromittierung bestätigt, sollten Organisationen laut Microsoft nach Seitwärtsbewegungen suchen und Zugangsdaten austauschen — einschließlich der Domänenadministrator-Konten, sofern diese vom infizierten Rechner aus zugänglich waren.