Die Zuordnung der Kampagne zu Kanada beruhte auf einem einzelnen Ködermotiv: Steuerformulare der Canada Revenue Agency. Die Auswertung von ANY.RUN zeigt jedoch ein weit größeres Bild — 601 Fälle in 46 Ländern gehören zur selben Operation. Mit einem Anteil von rund 45 Prozent der beobachteten Aktivität sind die USA das mit Abstand am häufigsten angegriffene Land.
Das Ziel der Angreifer ist nicht die Installation klassischer Schadsoftware, sondern von legitimer RMM-Software zur Fernüberwachung und -verwaltung. Der Weg dorthin führt über gefälschte Dokumente, deren Aufmachung je nach Zielgruppe wechselt: Versand- und UPS-Benachrichtigungen, vermeintliche Adobe-PDFs, Steuerbescheide, Rechnungen sowie Schreiben, die sich an der US-amerikanischen Social Security Administration orientieren.
Auffällig ist das Tempo, mit dem die Infrastruktur wechselt — sie verändert sich deutlich schneller als das eigentliche Angriffsmuster. Die Forscher identifizierten 425 URLs des Phishing-Kits auf 240 Hosts; 94 Prozent davon waren nur an einem einzigen Tag zu beobachten. Für die Auslieferung kamen Vercel, GitHub Pages, Netlify sowie kompromittierte Websites zum Einsatz. Die eigentlichen Nutzlasten lagen unter anderem bei Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox und GoFile bereit.
Trotz dieser schnellen Rotation hinterlässt das Phishing-Kit beständigere Spuren. Gemeinsam genutzte Bestandteile wie die Datei font1.woff2, wiederkehrende Bildressourcen und die Auslieferungsstruktur secure.html → project/*.zip erlaubten es den Forschern, scheinbar unabhängige Infrastruktur derselben Kampagne zuzuordnen.
Bei den Zielbranchen stehen Bildungseinrichtungen, Technologieunternehmen und Behörden an der Spitze. Auch das Bankwesen, der Finanzsektor und die Fertigungsindustrie sind laut ANY.RUN deutlich vertreten.
Daraus ergibt sich für die Erkennung ein grundsätzliches Problem: Einzelne Domains und die jeweils eingesetzten RMM-Produkte sind für die Angreifer beliebig austauschbar, während die zugrunde liegende Auslieferungskette stabil bleibt. Eine Erkennung, die sich allein auf Malware-Urteile, Reputationsbewertungen oder einzelne Indikatoren stützt, greift damit ins Leere.
Um derartige Muster zu erkennen und legitimen RMM-Einsatz von Missbrauch zu unterscheiden, benötigen SOC-Teams nach Einschätzung von ANY.RUN Zugriff auf den vollständigen Verhaltenskontext hinter verdächtigen Aktivitäten. Da Angreifer zunehmend legitime Software, vertrauenswürdige Dienste und Wegwerf-Infrastruktur kombinieren, müsse dieser Kontext nicht nur verfügbar, sondern auch operativ nutzbar sein.