Als Einstiegspunkt nutzten die Angreifer laut Kaspersky in einigen Faellen Schwachstellen in Microsoft-Exchange-Servern, bevor sie Gorilla RAT ausrollten. Das massgeschneiderte Werkzeug kann Netzwerkverkehr tunneln und den Angreifern so Fernzugriff auf Systeme innerhalb des Opfernetzwerks verschaffen.
Auf kompromittierten Systemen fanden die Forscher zahlreiche Varianten der Monkey Ransomware. Die Schadsoftware tauchte erstmals im Spaetsommer oder Fruehherbst 2025 auf, wurde in den folgenden Monaten aber laufend angepasst; einzelne Varianten waren in unterschiedlichen Programmiersprachen geschrieben. Kaspersky haelt diese ungewoehnlich schnelle Entwicklung fuer moeglicherweise KI-gestuetzt: Entweder habe generative KI beim Erstellen oder Veraendern der Schadsoftware geholfen, oder die Angreifer haetten schlicht mit deren Faehigkeiten experimentiert.
Hacking Cat trat in der Vergangenheit mehrfach gemeinsam mit anderen Gruppen auf. Im Maerz reklamierte die Gruppe zusammen mit der pro-ukrainischen Hacktivisten-Gruppe Cyber Anarchy Squad den Einbruch bei einem Dienstleister des russischen Staatskonzerns fuer Atomenergie, Rosatom, fuer sich. Im Juni beteiligte sie sich gemeinsam mit der Ukrainian Cyber Alliance an einem zerstoererischen Angriff auf Donbassteploenergo, einen staatlichen Waermeversorger, der in den russisch besetzten Teilen der ukrainischen Region Donezk taetig ist.
Bei dieser gemeinsamen Operation mit der Ukrainian Cyber Alliance kam laut den Forschern eine Schadsoftware namens Nemo Wiper zum Einsatz. Sie sei offenbar darauf ausgelegt, Daten gezielt zu vernichten und Infrastruktur zu stoeren, statt Loesegeldzahlungen zu erzwingen.
Kaspersky beobachtete darueber hinaus, dass verschiedene Hacktivisten-Gruppen dieselben eigens entwickelten Werkzeuge und teils identische mehrstufige Infektionsketten in voneinander getrennten Angriffen verwendeten. Diese Ueberschneidungen koennten darauf hindeuten, dass ein gemeinsamer Entwickler oder eine kleine Entwicklergruppe die Schadsoftware erstellt und pflegt und sie anschliessend an mehrere Operationen weitergibt. Genau dieses Teilen erschwert es erheblich, einen konkreten Angriff einer bestimmten Gruppe zuzuordnen.
Hacking Cat selbst widerspricht Kasperskys Analyse in Teilen. “Ein paar der Werkzeuge gehoeren uns, klar, aber die Verschluesselungsprogramme sind es definitiv nicht”, erklaerte die Gruppe in einer Telegram-Mitteilung und kritisierte zugleich die Reverse-Engineering-Arbeit des Unternehmens.