Die Kampagne läuft laut Dr. Web seit etwa zwei Jahren. Ursprünglich zielte sie auf Nutzer von Krypto-Wallets; als Köder dienten Blockchain-Spiele, Bots und Cheat-Werkzeuge, die vor allem Blockchain- und Gaming-Interessierte ansprachen. Erst in jüngerer Zeit verlagerte der Akteur seinen Schwerpunkt auf Fachleute der IT-Sicherheit. Eines der gefundenen Repositories gibt sich als schlankes Skript aus, das die Ausgabe des Netzwerkscanners Fscan auswerten, bereinigen und formatieren soll.

Der Schadcode steckt in Visual-Studio-Projektdateien, Python-Skripten und Go-Quelldateien, versteckt hinter langen Folgen von Leerzeichen – eine alte, aber weiterhin wirksame Technik. In einigen Visual-Studio-Projekten wird der Code nach Angaben der Forscher über ein Pre-Build-Event noch vor dem Kompilieren ausgeführt.

Die Infektionskette nutzt PowerShell, um einen verschlüsselten Download-Link abzurufen. Darüber gelangt ein modularer, auf Electron basierender Loader namens „Microsoft.exe" auf das System. Er verankert sich dauerhaft im Host, erhöht seine Rechte, deaktiviert Sicherheits- und Wiederherstellungsfunktionen von Windows und schleust die nächste Stufe in legitime Prozesse ein.

Für den Standardmodus Mode3 beschreibt Dr. Web sechs Ausweichtechniken:

  • explorer.exe wird als vermeintlicher Elternprozess der Schadsoftware vorgetäuscht
  • ein Registry-Wert wird geändert, um Smart App Control abzuschalten
  • der Originalcode von ntdll.dll wird von der Festplatte wiederhergestellt, um Hooks von Sicherheitssoftware zu entfernen
  • direkte Windows-Systemaufrufe erschweren das Abfangen durch Schutzprogramme
  • EtwEventWrite wird im Speicher gepatcht, um das Event Tracing im betroffenen Prozess zu unterdrücken
  • AmsiScanBuffer wird im Speicher gepatcht, um die Virenprüfung von Skripten zu stören

Lässt sich dieser Modus nicht starten, weicht der Loader auf Mode2 aus: Dort trägt er Ausnahmen in Microsoft Defender ein und nutzt ein PowerShell-Skript, um die Nutzlasten zu entschlüsseln und in „RegAsm.exe" einzuschleusen.

Als finale Nutzlasten kommen die Hintertür AsyncRAT, eine Clipper-Malware, die Krypto-Wallet-Adressen in der Zwischenablage austauscht, sowie ein Infostealer auf das System. Letzterer sammelt Browserdaten, VPN-Einstellungen, Konfigurationsdateien von FTP-Clients, Daten zu Gaming-Konten und Discord-Token und schleust sie über einen Telegram-Bot aus.

Nach Darstellung von Dr. Web versucht die Schadsoftware zudem, die Virenschutzprogramme von ESET, McAfee und Malwarebytes vom infizierten Rechner zu entfernen und sie von ihren Update-Servern zu trennen. Auch Windows-Backups werden gestört.

Die Forscher stießen außerdem auf eine offenbar noch unfertige Komponente, die den Loader am Laufen halten und ihn erneut herunterladen könnte, falls er von der Festplatte gelöscht wurde. Das deutet darauf hin, dass der Akteur die Schadsoftware weiter um neue Funktionen ergänzt. Eine vollständige Liste der beobachteten Kompromittierungsindikatoren wurde veröffentlicht.