VantaCore arbeitet als Ransomware-as-a-Service: Die Entwickler stellen Schadsoftware und Infrastruktur bereit, die eigentlichen Angriffe führen Partner aus. Mit ihren Opfern kommuniziert die Gruppe über einen Chat-Dienst im Tor-Netzwerk, zusätzlich betreibt sie eine Leak-Seite zur Veröffentlichung erbeuteter Daten.
Der Zugang zu Unternehmensnetzen erfolgt nach Darstellung von F6 über vertraute Wege: schlecht abgesicherte VPNs und andere Fernzugriffslösungen, Schwachstellen in aus dem Internet erreichbaren Anwendungen sowie Zugangsdaten, die bei Geschäftspartnern gestohlen wurden. „Ihre Taktiken, Techniken und Vorgehensweisen sind weitgehend wirksam, auch wenn sie weder ausgefeilt noch innovativ sind", urteilt F6.
Was VantaCore von vielen anderen Ransomware-Operationen unterscheidet, ist die konsequente Nutzung eigener Werkzeuge. Im August beobachtete F6 Angriffe mit der gruppeneigenen Ransomware, die ebenfalls VantaCore heißt und Daten sowohl auf Servern als auch auf Arbeitsplatzrechnern verschlüsseln kann.
Zur Verteilung der Ransomware und weiterer Schadsoftware in kompromittierten Netzwerken setzen die Angreifer den VantaCoreLoader ein. Hinzu kommt VantaCoreRAT, eine Hintertür, die Informationen über infizierte Systeme sammelt, Dateien überträgt und Befehle aus der Ferne ausführt. Ein viertes Werkzeug mit dem Namen SnowKiller ist darauf ausgelegt, Sicherheitssoftware einschließlich Antivirenprodukten außer Gefecht zu setzen.
Wie andere prouktrainische Gruppen könnte VantaCore die erbeuteten Daten über die reine Erpressung hinaus verwenden, schreibt F6. Informationen aus russischen Organisationen ließen sich veröffentlichen oder online verkaufen und anschließend für weitere Cyberangriffe oder andere Operationen gegen russische Unternehmen und Einzelpersonen nutzen.
Das Auftauchen von VantaCore fällt nach Beobachtung von F6 in eine Phase der Neuordnung innerhalb der prouktrainischen Hackerszene, die das Unternehmen für 2025 und 2026 beschreibt. Mehrere Gruppen hätten sich von weit verbreiteter Ransomware wie LockBit 3 Black und Babuk abgewandt und stattdessen begonnen, eigene Schadsoftware zu entwickeln. Als Gründe nennt F6 zum einen Schwächen, die in diesen Werkzeugen im Lauf der Zeit gefunden wurden, zum anderen die Zurückhaltung prouktrainischer Hacker gegenüber Software mit russischen Wurzeln.