Wird der angezeigte PowerShell-Befehl lokal ausgeführt, installiert er ein bösartiges MSI-Paket. Dieses startet eine legitime, signierte Anwendung zusammen mit einer veränderten DLL, die die eigentliche Schadsoftware nachlädt. Bei der Nutzlast handelt es sich um einen Fernzugriffstrojaner (RAT), der Fernsteuerung des Desktops, Audio- und Kameramitschnitte, Dateisuchen, Aufklärung des Hosts sowie das Nachladen weiterer Komponenten beherrscht.
Um sich dauerhaft einzunisten, legt die Malware sowohl einen neuen Run-Schlüssel in der Windows-Registry als auch eine geplante Aufgabe an. Beide tragen den Namen “Canon Configuration Reader”.
Huntress untersuchte nach eigenen Angaben mindestens 40 Vorfälle mit Verbindungen zur Google-Sites-Seite, konnte aber nur in zwei Fällen bestätigen, dass eine Custom-GPT-Variante beteiligt war. Das erste dieser Modelle nahm OpenAI bis zum 25. September offline. Zwei Tage später, am 27. September, stießen die Forscher auf ein zweites GPT, das derselben Kampagne zuzuordnen war und zum Zeitpunkt der Veröffentlichung des Berichts noch aktiv war.
Die jüngeren Angriffe verwenden statt der Canon-signierten Wirtsanwendung eine von Stardock signierte und haben die Art verändert, wie der Loader versteckt und ausgeliefert wird. Die Nutzlast selbst blieb unverändert.
Aus der mehrstufigen Angriffskette hebt Huntress die sechste Phase hervor: Dort haben die Angreifer ein eigenes verschlüsseltes Dateisystem gebaut, um das Persistenzskript und den RAT zu verbergen. “Statt eines einzelnen verschlüsselten Datenklumpens handelt es sich um ein eigenes Archiv mit eigener Ordnerstruktur — im Grunde eine selbstgebaute, verschlüsselte ZIP-Datei”, schreiben die Forscher. Der Aufbau beginne mit einem kleinen Header, gefolgt von einem Index aus 1.128 Einträgen, jeweils einer pro Datei oder Ordner, der das übergeordnete Element, die Größe und einen dateispezifischen Schlüssel festhält; danach folgen die Dateiinhalte direkt hintereinander gepackt.
Ein Großteil der Infektionskette läuft laut Huntress im Arbeitsspeicher oder stützt sich auf Dateien, die harmlos wirken. Verteidiger sollten deshalb bei der Prozessüberwachung ansetzen. Als konkrete Erkennungsmöglichkeiten nennen die Forscher unter anderem PowerShell, das msiexec.exe anspricht, um still ein MSI-Installationspaket aus dem temporären Verzeichnis zu starten.
Weitere Kompromittierungsanzeichen sind eine signierte Anwendung, die aus einem ungewöhnlichen Unterordner von %LOCALAPPDATA%\Programs\ heraus startet, sowie ein zusammengehöriger Run-Eintrag und eine geplante Aufgabe, die nach dem Löschen wieder auftauchen.