พบช่องโหว่ PHP ระดับ Critical บนอุปกรณ์ NAS ของ QNAP

QNAP ผู้ผลิตอุปกรณ์ Network-attached Storage (NAS) พบว่ามีช่องโหว่บน PHP ที่อาจถูกนำไปใช้ในการโจมตีด้วยการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ ซึ่งช่องโหว่นี้มีอายุกว่า 3 ปีแล้ว โดยช่องโหว่ดังกล่าวจะส่งผลกระทบต่อ PHP เวอร์ชั่นที่ต่ำกว่า 7.1.33 หรือ 7.2.24 หรือ 7.3.11 ซึ่งเกิดจากการตั้งค่า Nginx ที่ไม่เหมาะสม และถ้าหากโจมตีช่องโหว่ดังกล่าวสำเร็จก็จะสามารถทำให้ผู้โจมตีเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

ช่องโหว่นี้มีหมายเลข CVE-2019-11043 ระดับ CVSS: 9.8 ซึ่งการโจมตีจะสำเร็จได้ ระบบต้องมี Nginx และ php-fpm ทำงานอยู่บนระบบปฏิบัติการของ QNAP เวอร์ชันต่อไปนี้

QTS 5.0.x ขึ้นไป

QTS 4.5.x ขึ้นไป

QuTS hero h5.0.x ขึ้นไป

QuTS hero h4.5.x ขึ้นไป

QuTScloud c5.0.x ขึ้นไป

โดย QTS, QuTS hero หรือ QuTScloud จะไม่มี Nginx ติดตั้งไว้โดยค่าเริ่มต้น ซึ่งหากไม่ได้มีการติดตั้ง Nginx เพิ่มเติมในภายหลังก็จะไม่ได้รับผลกระทบ อย่างไรก็ตามก็มีการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ดังกล่าวแล้วใน OS เวอร์ชัน QTS 5.0.1.2034 build 20220515 และ QuTS hero h5.0.0.2069 build 20220614

การแจ้งเตือนนี้เกิดขึ้นหนึ่งสัปดาห์หลังจากที่ QNAP เปิดเผยรายงานการตรวจสอบอย่างละเอียดหลังจากที่ถูกโจมตีโดย DeadBolt Ransomware ที่ได้กำหนดเป้าหมายไปยังอุปกรณ์ QNAP NAS ที่ใช้ QTS 4.x ซึ่งเป็นเวอร์ชั่นที่เก่ามากแล้ว

 

นอกจากนี้ QNAP ยังแนะนำผู้ใช้งานที่ไม่สามารถระบุตำแหน่งบันทึกเรียกค่าไถ่หลังจากการ Upgrade Firmware ในกรณีที่ต้องการป้อนคีย์ถอดรหัสจาก DeadBolt ให้ติดต่อไปยัง QNAP Support เพื่อขอคำแนะนำ

ที่มา : thehackernews.

ผู้เชี่ยวชาญจาก CheckPoint ได้ค้นพบแคมเปญใหม่ที่เกิดจากกลุ่มแฮ็คเกอร์ที่ชื่อ Tropic Trooper จากประเทศจีน โดยใช้มัลแวร์ Nimbda และ Yahoyah Trojan ในการโจมตี

Trojan นี้อยู่ใน Tool ที่ชื่อ 'SMS Bomber' ซึ่งใช้สำหรับการโจมตีแบบปฏิเสธการให้บริการ (DoS) บนโทรศัพท์ โดยทำการส่ง SMS ไปจำนวนมาก ซึ่งส่วนใหญ่เครื่องมือนี้จะถูกใช้งานโดยแฮกเกอร์มือใหม่
ลักษณะการโจมตี
เมื่อเป้าหมายทำการดาวน์โหลด SMS Bomber ซึ่งปกติไฟล์ Install จะมีฟังก์ชันตามมาตรฐานทั่วไป แต่ในครั้งนี้ผู้โจมตีได้เพิ่มโค้ดที่จะถูก inject เข้าไปยัง process notepad.

ทีมรับมือภัยคุกคามทางคอมพิวเตอร์ของยูเครน (CERT-UA) ได้แจ้งเตือนเกี่ยวกับการโจมตีแบบ Spear-Phishing รูปแบบใหม่ที่ใช้ช่องโหว่ Follina บน Windows เพื่อติดตั้งมัลแวร์สำหรับขโมยรหัสผ่าน โดยพบว่าเป็นกลุ่ม APT28 ซึ่งคาดว่าเป็นหน่วยข่าวกรองของทหารรัสเซีย โดยมีชื่อเรียกอื่น ๆ เช่น Fancy Bear และ Sofacy

CERT-UA ระบุว่าในการโจมตีจะเริ่มต้นด้วยการส่งไฟล์เอกสารชื่อว่า “Nuclear Terrorism A Very Real Threat.

แฮ็กเกอร์กลุ่มใหม่ ToddyCat กำหนดเป้าหมายโจมตีไปยัง MS Exchange Servers

กลุ่ม APT ที่มีชื่อว่า ToddyCat ได้ถูกเชื่อมโยงเข้ากับการโจมตีจำนวนมากที่มุ่งเป้าไปที่หน่วยงานที่มีชื่อเสียงในยุโรป และเอเชียตั้งแต่เดือนธันวาคม 2020 ซึ่งดำเนินการโดยกำหนดเป้าหมายไปที่ Microsoft Exchange Servers ** ในไต้หวัน และเวียดนาม โดยการใช้เครื่องมือในการโจมตีที่ไม่เคยถูกพบมาก่อน เพื่อติดตั้ง China Chopper web shell

ประเทศหลักๆที่ตกเป็นเป้าหมายการโจมตี ประกอบไปด้วย อัฟกานิสถาน อินเดีย อินโดนีเซีย อิหร่าน คีร์กีซสถาน มาเลเซีย ปากีสถาน รัสเซีย สโลวาเกีย ไทย สหราชอาณาจักร และอุซเบกิสถาน ซึ่งผู้โจมตีมีการพัฒนาเครื่องมือที่ใช้ในการโจมตีอยู่ตลอด

“ระลอกแรกของการโจมตีมุ่งเป้าไปที่ Microsoft Exchange Server เท่านั้น ซึ่งถูกโจมตีโดย Samurai backdoor ซึ่งจะทำงานบนพอร์ต 80 และ 443” Kaspersky บริษัทรักษาความปลอดภัยทางไซเบอร์ของรัสเซียกล่าวในรายงานที่เผยแพร่ในวันนี้

"มัลแวร์ทำงานด้วยภาษา C# และมีการใช้งานโมดูลต่างๆจำนวนมาก เพื่อให้ผู้โจมตีสามารถเข้าควบคุมเครื่องได้ รวมไปถึงสามารถเคลื่อนย้ายไปยังเครื่องอื่นๆที่อยู่บนเครือข่ายได้ด้วยเช่นเดียวกัน"

ToddyCat หรือเป็นที่รู้จักในอีกชื่อว่า Websiic โดย ESET ปรากฏตัวครั้งแรกในเดือนมีนาคม 2564 จากการใช้ประโยชน์จากช่องโหว่ของ ProxyLogon Exchange เพื่อกำหนดเป้าหมายไปยังเซิร์ฟเวอร์อีเมลของบริษัทเอกชนในเอเชีย และหน่วยงานของรัฐในยุโรป

ลำดับการโจมตีหลังการติดตั้ง China Chopper web shell จะนำไปสู่การทำงานของ dropper ที่ถูกใช้เพื่อเปลี่ยนรีจิสทรีบน Windows เพื่อสั่งการทำงานของ second-stage loader ซึ่งได้รับการออกแบบมาเพื่อสั่งการทำงานของ third-stage .NET loader ซึ่งเป็นที่มาของการติดตั้ง Samurai Backdoor

นอกจากแบ็คดอร์จะใช้เทคนิคต่างๆ เช่น การหลบเลี่ยงการตรวจจับ เพื่อป้องกันการถูกวิเคราะห์จากเครื่องมือต่างๆแล้ว มันยังมีความสามารถในการค้นหาข้อมูลที่มีความสำคัญบนเครื่องของเหยื่อได้อีกด้วย

นอกจากนี้ นักวิจัยยังเห็นเครื่องมือที่น่าสนใจอีกตัวที่มีชื่อว่า Ninja ซึ่งถูกติดตั้งตามมาหลังจากการติดตั้ง Samurai และดูเหมือนว่าเครื่องมือดังกล่าวจะทำให้ผู้โจมตีหลายคนสามารถเข้ามาควบคุมเครื่องเหยื่อได้ในเวลาเดียวกัน

ลักษณะของมันจะคล้ายกับ Cobalt Strike ซึ่งทำให้ผู้โจมตีสามารถ "ควบคุมระบบจากระยะไกล หลีกเลี่ยงการตรวจจับ และเจาะต่อเข้าไปยังเครื่องอื่นๆในเครือข่ายของเป้าหมายได้"

นักวิจัยด้านความปลอดภัยของ Kaspersky กล่าวว่า "ToddyCat เป็นกลุ่ม APT ที่มีความซับซ้อน มีการใช้เทคนิคหลายอย่างเพื่อหลีกเลี่ยงการตรวจจับ จึงทำให้มันไม่ถูกพบมากนัก

“แต่จากการที่องค์กรที่ได้รับผลกระทบมีทั้งภาครัฐ และกองทัพ แสดงให้เห็นว่าผู้โจมตีกลุ่มนี้มุ่งเน้นไปที่เป้าหมายในระดับสูง และใช้เพื่อบรรลุเป้าหมายที่สำคัญ ซึ่งน่าจะเกี่ยวข้องกับผลประโยชน์ทางภูมิศาสตร์การเมืองโลก”

ที่มา : thehackernews

มีการค้นพบการโจมตีแบบ NTLM Relay Attack ที่เรียกว่า DFSCoerce โดยการใช้ MS-DFSNM (Microsoft's Distributed File System) เพื่อเข้ายึด Windows domain ได้

หลายๆองค์กรจะมีการใช้ Microsoft Active Directory Certificate Services, public key infrastructure (PKI) service ในการตรวจสอบสิทธิ์ผู้ใช้, บริการ และอุปกรณ์บน Windows domain

โดยบริการเหล่านี้มีความเสี่ยงจากการถูกโจมตีแบบ NTLM relay attacks ซึ่งจะเกิดขึ้นจากการที่ผู้โจมตีพยายามทำให้ domain controller รับการตรวจสอบสิทธิ์จาก NTLM relay ที่เป็นอันตรายที่อยู่ภายใต้การควบคุมโดยผู้โจมตี

ซึ่งเซิร์ฟเวอร์ที่เป็นอันตรายเหล่านี้จะส่งคำขอ authentication ไปยัง Active Directory Certificate Services ของโดเมนผ่านทาง HTTP จากนั้นก็จะได้รับ Kerberos Ticket-granting (TGT) กลับมา ซึ่ง Ticket นี้จะทำให้ผู้โจมตีสามารถถูกระบุเป็นอุปกรณ์ใดๆก็ได้ในเครือข่าย รวมไปถึง domain controller ด้วย ซึ่งเมื่อสามารถปลอมแปลงเป็น domain controller ได้แล้ว ผู้โจมตีก็จะสามารถยกระดับสิทธิ์เพื่อเข้าควบคุมโดเมน และเรียกใช้คำสั่งใดๆ ก็ได้

ในการบังคับให้เซิร์ฟเวอร์ตรวจสอบสิทธิ์กับ NTLM relay ที่เป็นอันตราย ผู้โจมตีสามารถใช้วิธีการต่างๆ เช่น MS-RPRN, MS-EFSRPC (PetitPotam) และโปรโตคอล MS-FSRVP

แม้ว่า Microsoft ได้ออกแพตซ์แก้ไขช่องโหว่ในการตรวจสอบสิทธิ์โดยใช้โปรโตคอลเหล่านี้ไปแล้ว แต่ก็ยังพบการหลบหลีกการป้องกันเพื่อใช้โปรโตคอลเหล่านี้ในการโจมตีได้อยู่

NTLM Relay Attack รูปแบบใหม่ โดยใช้ MS-DFSNM

สัปดาห์นี้ Filip Dragovic นักวิจัยด้านความปลอดภัยได้เผยแพร่สคริปต์เพื่อพิสูจน์แนวคิดสำหรับการโจมตี NTLM Relay Attack รูปแบบใหม่ที่เรียกว่า 'DFSCoerce' ซึ่งใช้โปรโตคอล Distributed File System (MS-DFSNM) ของ Microsoft

DFSCoerce script มีพื้นฐานมาจากการโจมตีแบบ PetitPotam แต่แทนที่จะใช้ MS-EFSRPC สคริปต์นี้ใช้ MS-DFSNM ซึ่งเป็นโปรโตคอลที่ใช้บริหารจัดการ Windows Distributed File System (DFS) ผ่าน RPC interface

นักวิจัยให้ข้อมูลกับ BleepingComputer ว่า วิธีที่ดีที่สุดในการป้องกันการโจมตีในรูปแบบนี้คือการทำตามคำแนะนำในการลดความเสี่ยงของ Microsoft จากการโจมตีในรูปแบบ PetitPotam NTLM Relay Attack โดยการปิด NTLM บน domain controller, ปิด web services บน Active Directory Certificate Services servers และเปิด Extended Protection for Authentication และฟีเจอร์ signing เช่น SMB signing เพื่อป้องกัน Windows credentials เป็นต้น

วิธีการลดความเสี่ยงจากการโจมตีอื่นๆ ก็เช่นการใช้ RPC Filters หรือ RPC Firewall เพื่อป้องกันไม่ให้เซิร์ฟเวอร์ถูกบังคับผ่านโปรโตคอล MS-DFSNM อย่างไรก็ตาม ยังไม่มีข้อมูลว่าการบล็อกการเชื่อมต่อ DFS RPC จะทำให้เกิดปัญหาอื่นๆในเครือข่ายตามมาหรือไม่

ที่มา : bleepingcomputer

 

Microsoft ได้ทำการแผยแพร่อัปเดต Windows แบบ Out-of-band (OOB) เพื่อแก้ไขปัญหาเกี่ยวกับการลงชื่อเข้าใช้ Azure Active Directory และ Microsfot 365 บน Arm Devices หลังจากที่มีการอัพเดตแพตซ์ในรอบ Patch Tuesday ของเดือนมิถุนายน 2565

ในการอัปเดท OOB ครั้งนี้ ผู้ใช้งานสามารถอัปเดตโดยอัตโนมัติผ่านทาง Windows Update และยังสามารถดาวน์โหลด และติดตั้งด้วยตัวเองผ่าน Microsoft Update Catalog (KB5016139 สำหรับ Windows 10 และ KB5016138 สำหรับ Windows 11)

Microsoft ได้ระบุเกี่ยวกับปัญหาที่พบว่า ปัญหานี้มีผลเฉพาะกับอุปกรณ์ที่ใช้ Windows ARM-based และจะทำให้ผู้ใช้งานไม่สามารถลงชื่อเข้าใช้โดย Azure Active Directory (ADD) รวมถึงแอป และบริการที่ใช้ AAD เพื่อลงชื่อเข้าใช้ เช่น VPN, Microsoft Teams และ MS Outlook ก็อาจได้รับผลกระทบด้วยเช่นกัน

เวอร์ชั่น Windows ที่ได้รับผลกระทบจากปัญหานี้มีดังนี้

Windows 11 21H2

Windows 10 21H2

Windows 10 21H1

Windows 10 20H2

โดยอาจมีผลกระทบกับการใช้งานบางส่วนดังนี้

App และ Service ที่ใช้ Azure Active Directory (Azure AD) ในการลงชื่อเข้าใช้
VPN connections
Microsoft Teams desktop
OneDrive for Business
Outlook Desktop client

Microsoft ได้ระบุเพิ่มเติมเกี่ยวกับการอัปเดตว่า หากผู้ใช้งานที่ยังไม่ได้ทำการอัปเดท Patch Tuesday ของเมื่อวันที่ 14 มิถุนายน 2565 ที่ผ่านมา ให้อัปเดทจาก OOB Update นี้ได้เลย เนื่องจากเป็น OOB update แบบรวมของวันที่ 14 มิถุนายนมาให้แล้ว แต่ถ้าหากมีการอัปเดตของวันที่ 14 มิถุนายนมาแล้ว ก็จะมีการดาวน์โหลดเฉพาะแพคเกจใหม่ที่มีอยู่ในอัปเดตไปติดตั้งเท่านั้น

ในส่วนขอองค์กรที่ยังไม่สามารถอัปเดตการแก้ไขนี้ได้ในทันที สามารถใช้งานผ่านทางรูปแบบ Website ไปก่อนได้ เช่น OneDrive, Microsoft Teams และ Outlook.

ข้อมูลเบื้องต้น
ผู้เชี่ยวชาญจาก ThreatLabz ของ Zscaler ตรวจพบแคมเปญนี้ในเดือนพฤษภาคม โดยพบว่าการโจมตีในครั้งนี้มุ่งเป้าไปที่หน่วยงานต่างๆของสหรัฐอเมริกา นอกจากนี้ยังมีบริษัทด้านความปลอดภัยของซอฟต์แวร์ ผู้ให้บริการโซลูชันด้านความปลอดภัย การทหาร การดูแลสุขภาพ และเภสัชกรรมที่ตกเป็นเป้าหมายอีกด้วย
ซึ่ง Zscaler ที่เป็นบริษัทที่ตรวจพบแคมเปญนี้ก็เป็นหนึ่งในองค์กรเป้าหมายด้วยเช่นเดียวกัน

ลักษณะการโจมตี
1. การโจมตีเริ่มต้นจากการส่งอีเมลไปยังเป้าหมาย โดยระบุว่ามีข้อความเสียงอยู่ในไฟล์แนบ
2. เมื่อเป้าหมายเปิดไฟล์แนบ สคริป HTML จะทำงาน และเปลี่ยนเส้นทางไปยังหน้าใส่ CAPTCHA ซึ่งการใส่ CAPTCHA จะช่วยให้ผู้โจมตีสามารถหลบเลี่ยงเครื่องมือสแกน URL แบบอัตโนมัติได้
3. หลังจากใส่ CAPTCHA เสร็จมันจะเปลี่ยนเส้นทางเป็น Login Microsoft ปลอมที่เป็นชื่อของเอนทิตีเป้าหมาย และโดเมนของผู้โจมตีเพื่อให้ใส่อีเมล และรหัสผ่าน หากผู้ใช้งานใส่รหัสผ่านเสร็จ จะมีแจ้งเตือนขึ้นว่าไม่มีบัญชีผู้ใช้งานนี้

นอกจากนี้ยังพบว่าฟิลด์ "From" ของอีเมลจะถูกสร้างขึ้นให้สอดคล้องกับบริษัทของผู้รับ เช่น เมื่อมีการกำหนดเป้าหมายพนักงานของ Zscaler URL ของหน้าจะใช้รูปแบบ zscaler.

ช่องโหว่ด้านความปลอดภัยที่เพิ่งได้รับแพตช์แก้ไขใน Atlassian Confluence Server และ Data Center ได้ถูกนำมาใช้เพื่อติดตั้ง cryptocurrency มัลแวร์ และเพย์โหลดของ Ransomware

มีการพบเหตุการณ์อย่างน้อย 2 เหตุการณ์ที่เกี่ยวข้องกับการโจมตีด้วยช่องโหว่ดังกล่าว โดยบริษัท Sophos พบว่าผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่ในการติดตั้ง Cerber ransomware และ crypto miner ที่ชื่อว่า z0miner บนเครือข่ายของเหยื่อ

ช่องโหว่ CVE-2022-26134, คะแนน CVSS: 9.8 (ได้รับแก้ไขจาก Atlassian ไปแล้วเมื่อวันที่ 3 มิถุนายน พ.ศ. 2565) เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ โดยมีผลกระทบกับ Confluence Server และ Data Center ทุกเวอร์ชัน

(more…)

Microsoft กำลังตรวจสอบปัญหาที่เพิ่งพบหลังการอัปเดตแพตซ์ของ Windows ในช่วง Patch Tuesday ของเดือนมิถุนายน 2022 ซึ่งทำให้เกิดปัญหาการในเชื่อมต่อเมื่อใช้ Wi-Fi hotspots
Wi-Fi hotspots จะช่วยให้ผู้ใช้งานสามารถแชร์ Wi-Fi, Ethernet, หรือเชื่อมต่ออินเทอร์เน็ตมือถือกับอุปกรณ์อื่นในเครือข่าย
โดยมีรายงานที่พบว่าอุปกรณ์ที่มีการติดตั้งแพตซ์อัปเดตในเดือน มิถุนายน อาจใช้ฟีเจอร์ Wi-Fi hotspots ไม่ได้
"เมื่อมีการเชื่อมต่อกับ Wi-Fi hotspots พบว่าอุปกรณ์กลับไม่สามารถเชื่อมต่อกับอินเทอร์เน็ตได้ " Microsoft อธิบาย

เวอร์ชัน Windows ทั้งหมดที่ได้รับผลกระทบจากปัญหานี้มีทั้งไคลเอ็นต์ และเซิร์ฟเวอร์ดังต่อไปนี้

Client: Windows 11, version 21H2; Windows 10, version 21H2; Windows 10, version 21H1; Windows 10, version 20H2; Windows 10 Enterprise LTSC 2019; Windows 10 Enterprise LTSC 2016; Windows 10 Enterprise 2015 LTSB; Windows 8.1; Windows 7 SP1
Server: Windows Server 2022; Windows Server, version 20H2; Windows Server 2019; Windows Server 2016; Windows Server 2012 R2; Windows Server 2012; Windows Server 2008 R2 SP1; Windows Server 2008 SP2
โดย Microsoft กำลังตรวจสอบ และแก้ไขปัญหาการเชื่อมต่อ Wi-Fi hotspots นี้ เพื่อแก้ไขปัญหาในการอัปเดต Windows ในครั้งต่อไป

วิธีแก้ปัญหาคือให้ปิดการใช้งาน Wi-Fi hotspots
Microsoft ระบุว่ายังไม่มีวิธีการแก้ปัญหาสำหรับ Bug ดังกล่าว จนกว่าจะมีการแก้ปัญหาในการอัปเดตในครั้งถัดไป จึงแนะนำให้ผู้ใช้งานปิดการใช้งาน Wi-Fi hotspots ไปก่อน และใช้วิธีการอื่นในการเชื่อมต่ออินเทอร์เน็ต

โดยการอัปเดต Windows ในเดือนนี้ ยังอาจทำให้เกิดปัญหาในการสำรองข้อมูลในระบบบน Windows Server หลายเวอร์ชัน โดยจะทำให้แอพพลิเคชันบางอย่างไม่สามารถสำรองข้อมูลโดยใช้ Volume Shadow Copy Service (VSS) ได้

ปัญหานี้เกิดจากการแก้ไขช่องโหว่ด้านความปลอดภัยในการยกระดับสิทธิ์ (CVE-2022-30154) ใน Microsoft File Server Shadow Copy Agent Service (RVSS)

ที่มา : bleepingcomputer.

ผู้เชี่ยวชาญตรวจพบแคมเปญที่เป็นอันตราย โดยพบการส่งมัลแวร์ 'Matanbuchus' ผ่าน Phishing Email เพื่อติดตั้ง Cobalt Strike บนเครื่องที่ถูกบุกรุก ซึ่ง Cobalt Strike เป็นซอร์ฟแวร์ที่ใช้สำหรับการทดสอบการเจาะระบบ แต่ปัจจุบันมักถูกใช้ในการโจมตีเพื่อหาช่องทางการปล่อย Payloads อื่นๆที่เป็นอันตรายได้

รายละเอียดเบื้องต้น

Matanbuchus เป็นโครงการ Malware-as-a-Service (MaaS) ที่ถูกพบครั้งแรกในเดือนกุมภาพันธ์ 2564 มีการโฆษณาบน Dark Web โดยโปรโมตว่าสามารถรันไฟล์ exe ได้โดยตรงบน System ของเครื่อง

จากนั้นผู้เชี่ยวชาญจาก Palo Alto Networks ได้ทำวิเคราะห์มัลแวร์เมื่อเดือนมิถุนายน พ.ศ. 2564 และทำการรวบรวมข้อมูลเพื่อทำการ Mapping Network Path และ Infrastructure ของมัลแวร์ รวมไปถึงคำสั่งบน PowerShell ที่ใช้ในการติดตั้ง Payloads

ลักษณะการโจมตี

ปัจจุบัน ผู้เชี่ยวชาญชื่อ Brad Duncan ได้นำตัวอย่างมัลแวร์มาตรวจสอบการทำงาน สรุปได้ดังนี้

1. หัวข้อของ Subject จะขึ้นต้นด้วยคำว่า RE: เพื่อหลอกให้ผู้ใช้งานว่าเป็นอีเมลตอบกลับการสนทนาที่เกิดขึ้นก่อนหน้า
2. ในอีเมลจะมีไฟล์ ZIP ที่ข้างในมีไฟล์ HTML อยู่ มันจะทำหน้าที่สร้างไฟล์ ZIP ใหม่อีกอัน ซึ่งข้างในเป็นไฟล์ MSI ที่มีลายเซ็นแบบดิจิทัลด้วยใบรับรองที่ออกโดย DigiCert ให้กับ "Westeast Tech Consulting, Corp"

3. หากผู้ใช้งานคลิกติดตั้งไฟล์ .MSI จะมีหน้า Install ขึ้นมา ซึ่งลักษณะ Fonts จะเป็น Adobe Acrobat catalog update จากนั้นจะมีรายงานว่ามีการติดตั้งผิดพลาด เพื่อเบี่ยงเบนความสนใจของเป้าหมายจากสิ่งที่เกิดขึ้นเบื้องหลัง
4. สิ่งที่เกิดขึ้นเบื้องหลังการติดตั้งไฟล์ MSI ปลอมคือ Payloads Matanbuchus สองรายการ ("main.