- Schlüsselziele.
- Betroffene Branchen.
- Geografischer Schwerpunkt.
- Infektionskette – Operation IconCat.
- Infektionskette – I.
- Infektionskette – II.
- Kampagnenanalyse – Operation IconCat.
- Kampagne I
- Erste Ergebnisse.
- Untersuchung der schädlichen PDF-Datei.
- Technische Analyse.
- Schädliches PyInstaller-Implantat – PYTRIC
- Kampagne II
- Erste Ergebnisse.
- Untersuchung der bösartigen Spear-Phishing-Outlook-Datei.
- Technische Analyse.
- Bösartiges Word-Dokument.
- Bösartiges Rostimplantat – RUSTRIC
- Infrastrukturanalyse.
- Fazit
- SEQRITE Schutz.
- IOCs
- MITRE ATT&CK.
- Erste Ergebnisse.
- Erste Ergebnisse.
- Kampagne I
Einführung
SEQRITE Das APT-Team von Labs verfolgt Unbekannte Cluster [UNG0801], eine etwas fortgeschrittenere, aber hartnäckige Bedrohungsentität, die vermutlich ihren Ursprung in Westasien, wobei die Aktivität hauptsächlich gegen Israelische OrganisationenDas Cluster zeigt einen starken Fokus auf Unternehmensumgebungen, verlassen auf sozial manipulierte Phishing-Köder geschrieben in Hebräisch und sind so gestaltet, dass sie routinemäßigen internen Mitteilungen ähneln, wie z. B. Compliance-Updates, Sicherheitswarnungen oder Ankündigungen von Unternehmenswebinaren.
Ein wiederkehrendes Muster in den beobachteten Kampagnen ist die starke Abhängigkeit des Akteurs von Antivirus-SymbolfälschungMarkenauftritt von namhaften Sicherheitsanbietern, insbesondere SentinelOne und Check Pointwird missbraucht, um ein falsches Gefühl von Legitimität zu erzeugen. Diese gefälschten AV-Themen-Lockvögel sind von bösartigen Word- und PDF-DokumentenDiese Dokumente dienen als erster Übermittlungsmechanismus. Nach dem Öffnen führen sie zur Extraktion oder Ausführung der Köderinhalte, wodurch die Wahrscheinlichkeit einer Nutzerinteraktion und eines nachfolgenden Sicherheitsvorfalls erhöht wird.
Diese Aktivität wurde zunächst intern verfolgt von SEQRITE Labs als Operation IconCat, während der zwei unterschiedliche Infektionsketten wurden ab dem dritte Novemberwoche 2025Beide Kampagnen zielen auf bestimmte Organisationen in ganz Israel ab. Obwohl sich die Kampagnen in ihren Vorgehensweisen und der unterstützenden Infrastruktur unterscheiden, ist der konsequente Missbrauch von AV-Icon-Spoofing innerhalb eines engen operativen Zeitrahmens Wir glauben, dass dies auf einen gemeinsamen Ansatz oder eine gemeinsame Vorgehensweise hindeutet. Basierend auf diesem Verhaltenszusammenhang, SEQRITE Das Lab APT-Team fasst diese Kampagnen in einem einzigen Aktivitätscluster zusammen, der nun wie folgt verfolgt wird: UNG0801, was sich aufgrund zukünftiger Forschungsergebnisse ändern kann.
Hauptziele
UNG0801, das aus beiden Kampagnenclustern besteht, zielt auf eine bestimmte Reihe von Branchen in den ausgewählten Interessengebieten ab, und zwar auf folgende:
Betroffene Branchen
- Informationstechnologie und Managed Service Provider.
- Personalwesen und Personaldienstleistungen.
- Softwareentwicklungs- und Technologieunternehmen
Geografischer Fokus
- Israel
Infektionskette – Operation IconCat.
Kampagne – I
Kampagne – II
Kampagnenanalyse – Operation IconCat
Wie bereits erwähnt, fassen wir die Gruppe von Bedrohungskampagnen unter dem Namen UNG0801 zusammen und bezeichnen sie auch als Operation IconCat, da wir von einem gemeinsamen Vorgehen ausgehen, das den Missbrauch von AV-Symbolen bekannter Hersteller beinhaltet. Daher werden wir uns nun in weiteren Abschnitten eingehender mit den Kampagnen, der Implementierung und anderen spezifischen Details befassen.
Kampagne – I
In dieser Kampagne mit gemeinsamen Handlungsanweisungen zum Thema AV-Missbrauch stießen wir auf die erste Kampagne, die das Symbol des Anbieters Check Point Anti-Malware missbrauchte, indem sie es fälschte und anschließend als Logo für das PyInstaller-Implantat verwendete, das wir als „PyInstaller“ bezeichnen. PYTRICDa es sich um eine legitime Binärdatei handelt, verfolgen wir sie als erste Kampagne oder Cluster im Rahmen von UNG0801 oder Operation IconCat.
Erste Ergebnisse.
Wie bei SEQRITE Wir vom Labs APT-Team verfolgen akribisch die ersten Zugriffsnutzlasten, wie etwa Verknüpfungsdateien, Spear-Phishing-basierte E-Mails, bösartige Installationsprogramme und vieles mehr. Dabei stießen wir auf eine PDF-Datei mit dem Namen help.pdf.
Diese Probe wurde am 16. November 2025 in den öffentlichen Sandbox-Datensatz hochgeladen und stammte ursprünglich aus Israel. Zusammen mit uns anderen Sicherheitsforscher Ich habe diese Kampagne auch gefunden.
Untersuchung der schädlichen PDF-Datei.
Bei der ersten Analyse der PDF-Datei, Hilfe.pdfWir stellten fest, dass es sowohl als als auch als dokumentenbasierter Köder und als Übertragungsmechanismus für die nächste Stufe der InfektionsketteDas Dokument weist das Opfer an, ein Tool namens herunterzuladen. „Sicherheitsscanner“ das gehostet wird auf Dropbox und mit dem Passwort geschützt „cloudstar“. Als Teil des Social Engineering rät das Dokument den Nutzern, sicherzustellen, dass sie die neueste Version des Tools, indem es fälschlicherweise seine Legitimität suggeriert, indem es es mit Check Point.
Um den Köder so relevant wie möglich zu gestalten, enthält die PDF-Datei auch das Logo und ein Bild des Startbildschirms des vom Anti-Malware-Anbieter Check Point bereitgestellten Sicherheitstools.
Auf der nächsten Seite konzentriert sich das Dokument auf die Bereitstellung von Schritt-für-Schritt-Anleitung zum Starten des Scanseinschließlich der Auswahl des Ziellaufwerks oder -ordners und der Auswahl zwischen einem schnell or umfassend Scanmodus. Außerdem wird erklärt, wie Benutzer den Scanvorgang starten oder stoppen und den Scanfortschritt visuell über eine Fortschrittsanzeige auf dem Bildschirm überwachen können, wodurch der Eindruck eines legitimen und funktionsfähigen Sicherheitstools verstärkt wird.
Auf der dritten Seite dieses PDFs werden die verschiedenen Scanarten erläutert, darunter der umfassende Scan, der Schnellscan und vieles mehr.
Nun, die letzte Seite dieser schädlichen PDF-Datei konzentriert sich auf die Schnittstelle für Scanergebnisse, das nach Abschluss des Scanvorgangs angezeigt wird. Dieser Abschnitt enthält eine Zusammenfassung der wichtigsten Kennzahlen, einschließlich der Gesamtzahl der gescannten Dateien, erkannte Bedrohungen und Gesamtscandauer. Darüber hinaus bietet es eine detaillierte Auflistung verdächtiger Dateien und laufender Prozesse, zusammen mit allgemeinen Abhilfeempfehlungen.
Im nächsten Abschnitt werden wir die technische Analyse der zweiten Payload-Stufe untersuchen, die das Opfer laut PDF-Anleitung von Dropbox herunterladen soll.
Technische Analyse.
In diesem Abschnitt konzentrieren wir uns nun auf die technischen Fähigkeiten des Implantats, das wir unter der Bezeichnung PYTRIC führen.
Bösartiger PyInstaller-Einschleuser – PYTRIC.
Beim ersten Laden der Binärdatei in einfache Analysetools stellten wir fest, dass sie folgendermaßen verpackt war: PyInstallerVereinfacht ausgedrückt bedeutet dies, dass die Malware ursprünglich in geschrieben wurde Python Anschließend wird alles in eine eigenständige Windows-Anwendung gebündelt. PyInstaller verpackt den Python-Interpreter, die benötigten Bibliotheken und den Python-Code des Angreifers in eine einzige Binärdatei, sodass diese auch auf Systemen ohne installiertes Python ausgeführt werden kann. Diese Technik wird häufig von Angreifern missbraucht, da sie die Bereitstellung vereinfacht und gleichzeitig eine dünne Verschleierungsschicht hinzufügt, was die statische Analyse etwas erschwert.
Daher beschlossen wir, die Dateien aus diesem bösartigen PYZArchive zu extrahieren. Bei der anschließenden Dekompilierung der Datei main.pyc fanden wir die bösartigen Codefragmente.
Schließlich können wir sehen, dass das bösartige Skript mehrere Nachrichten enthält, um bestimmte Aufgaben auszuführen.
Dann entdeckten wir eine Reihe interessanter Funktionen namens scan_files, die im Grunde alle Dateien auf dem Zielrechner scannen, und dann gibt es noch die andere Funktion, die prüft, ob das Skript oder das Implantat PYTIC über bestimmte Administratorrechte verfügt, um bestimmte Aufgaben auszuführen.
Im letzten Teil dieses Skripts sehen wir nun, dass vom TA-Ende aus mehrere Befehle ausgeführt wurden, die Aufgaben wie das systemweite Löschen, das Löschen aller Backups, das Überprüfen des Backup-Status und vieles mehr durchführen, wodurch dieses Implantat auf der Seite des Opfers zu einer Art Wiper wird.
Wir schließen daraus, dass es sich bei dem PYTRIC-Implantat im Grunde um schlecht programmierte Malware handelt, die von PyInstaller unterstützt wird. Die Untersuchung des Telegram-Bot-Tokens ergab, dass der Bot, der zur Verbindung mit dem TA verwendet wurde, den Namen Backup2040 trägt und für die oben genannte Operation eingesetzt wurde.
Kampagne – II
In dieser zweiten Kampagne mit gemeinsamem Playbook, die sich auf den Missbrauch von Antivirensoftware konzentriert, haben wir festgestellt, dass das Symbol des Anbieters SentinelOne Anti-Malware missbraucht wurde, indem es gefälscht und anschließend als Logo für das auf Rust basierende Implantat verwendet wurde, das wir als RUSTRIC bezeichnen. Da es als legitime Binärdatei agiert, verfolgen wir es als zweite Kampagne bzw. zweiten Cluster unter UNG0801 oder Operation IconCat.
Erste Ergebnisse.
Nachdem wir die erste Kampagne aufgespürt hatten, konnten wir später auch eine bösartige Spear-Phishing-E-Mail aufspüren und identifizieren, die aus Israel hochgeladen worden war.
Wie wir sehen können, wurde das Beispiel am 17. November 2025 in den öffentlichen Sandbox-Datensatz hochgeladen. Schauen wir uns nun die bösartige Spear-Phishing-E-Mail genauer an.
Untersuchung der bösartigen Spear-Phishing-E-Mail-Datei.
Bei der ersten Untersuchung der bösartigen Spear-Phishing-E-Mail stellten wir fest, dass sie Nachahmung der LM-Gruppe, ein legitimes israelisches Personalvermittlungsunternehmen, wurde durch Missbrauch der Domain lm.co.il aufgedeckt. Bei der Prüfung des E-Mail-Inhalts stellten wir fest, dass der Mitarbeiter bestimmte Formulierungen verwendet hatte, um den Eindruck einer internen Unternehmenskommunikation zu erwecken. Er benutzte einen generischen Absendernamen der Abteilung und formelles Hebräisch und fügte Anhänge bei, die als routinemäßige Unternehmensrichtlinien und Webinar-Materialien (Webinar.doc und Webinar.zip) getarnt waren.
Technische Analyse.
In diesem Abschnitt konzentrieren wir uns auf zwei Komponenten dieser Kampagne: die erste ist das bösartige Word-Dokument, das Makros enthält und zum zweiten und letzten Akteur führt, den wir als RUSTRIC bezeichnen.
Bösartiges Word-Dokument.
Bei der ersten Betrachtung von Dateianalysetools machten wir uns mit dem Dateiformat vertraut: Es handelt sich um eine Dokumentdatei, die Makros enthält.
Des Weiteren stellten wir fest, dass das Dokument beschädigt ist und die Word-Datei ausschließlich dazu dient, den letzten Stager einzuschleusen. Bei der Analyse der Datenströme fanden wir heraus, dass nur zwei davon relevant sind und Schadcode enthalten.
Bei der weiteren Extraktion des schädlichen Makros stellten wir fest, dass es einige interessante Funktionssätze zur Ausführung bestimmter Aufgaben enthält. Außerdem fanden wir heraus, dass der Angreifer eine sehr herzliche Nachricht für die Analysten und das Ziel hinterlassen hat, die wie folgt lautet: „Hi : ), viel Spaß : ).“
Bei der Analyse der Funktion WriteHexToFile stellten wir fest, dass sie verantwortlich ist für Entnahme und Rekonstruktion der Nutzlast der letzten Stufe aus dem UserForm1-Stream. Die Funktion liest eine große Menge. hexadezimal kodierter Blob Die im Designzeitwert von UserForm1.TextBox1.Text gespeicherten Daten werden entfernt, inklusive Formatierungsartefakten wie Leerzeichen und Zeilenumbrüchen, und auf Datenintegrität geprüft. Anschließend wird die Hexadezimalzeichenkette Byte für Byte in ihre Binärform dekodiert und die rekonstruierte Nutzlast als PhotoAcq.log im Zielverzeichnis auf die Festplatte geschrieben. Downloads Verzeichnis, bekannt als PhotoAcq.log.
Wir haben außerdem ein sehr ungewöhnliches Muster festgestellt: Der Angreifer verwendet Emotes übermäßig und wiederholt ähnliche Nachrichten überall im bösartigen Skript.
Als nächstes untersucht man die Funktion love_me_, für die sie verantwortlich ist. Ausführung der rekonstruierten Nutzlast Sobald die Datei auf die Festplatte geschrieben wurde, wird der vollständige Pfad zur abgelegten Datei „PhotoAcq.log“ im Verzeichnis des Opfers erstellt. Downloads Verzeichnis und nutzt Windows-Verwaltungsinstrumentation (WMI) Um es zu starten. Genauer gesagt, ruft das Makro über den Namespace root\cimv2 ein Handle zur Klasse Win32_Process ab und ruft die Methode Create auf, um einen neuen Prozess zu erzeugen.
Als nächstes werden wir uns die endgültige Nutzlast ansehen, die RUSTRIC heißt.
Bösartiges Rostimplantat – RUSTRIC
Beim ersten Laden der Binärdatei in die Analysetools stellten wir fest, dass es sich um ein Rust-basiertes Implantat handelt.
Beim Blick auf die Hauptfunktion stellten wir fest, dass es sich um eine Rust-Binärdatei handelt, die eine große Mischung aus Bibliotheks- und Codefragmenten enthält, die von geringem Interesse sind.
Im nächsten Schritt stießen wir auf eine interessante Funktion, die eine Vielzahl von Aufgaben übernimmt, wie beispielsweise das Auflisten der auf dem Zielrechner vorhandenen Antivirenprogramme.
Wie bereits erwähnt, listet das Implantat insgesamt 28 Antivirenprogramme auf, darunter QuickHeal, CrowdStrike, CheckPoint, ESET und viele weitere. Dies geschieht durch die Auflistung der Dateinamen der Anti-Malware-Agentendateien, bestimmter Ordner und weiterer Daten. Die Liste der vom Implantat erfassten Anti-Malware-Anbieter lautet wie folgt:
| # | Antivirus-Name |
| 1 | Quick Heal |
| 2 | Microsoft Defender |
| 3 | Avast |
| 4 | AVG |
| 5 | Avira |
| 6 | Bitdefender |
| 7 | Kaspersky |
| 8 | ESET |
| 9 | McAfee |
| 10 | Norton |
| 11 | Trend Micro |
| 12 | Sophos |
| 13 | Malwarebytes |
| 14 | Panda Security |
| 15 | F-Secure |
| 16 | Comodo |
| 17 | Webroot |
| 18 | Cylance |
| 19 | Sentinel Eins |
| 20 | VMware Carbon Black |
| 21 | Menschenmenge |
| 22 | G DATA |
| 23 | Qihoo 360 |
| 24 | K7 Computing |
| 25 | Doktor Web |
| 26 | Check Point |
| 27 | BullGuard |
| 28 | Emsisoft |
Sobald die Aufzählung abgeschlossen ist und das Implantat feststellt, dass bestimmte AVs nicht vorhanden sind, gibt es außerdem eine Meldung aus, die lautet:Keine Detektionen gefundenSobald die AV-Enumeration abgeschlossen ist, werden die nächsten Aktionen ausgeführt.
Zunächst wird der Befehl whoami.exe ausgeführt, was im Grunde ein generisches Verhalten von Implantaten ist, allerdings recht laut.
Anschließend wird der Befehl hostname.exe ausgeführt, was wiederum ein generisches Verhalten darstellt, um den Hostnamen des Ziels aufzulisten.
Der letzte Befehl, den das Implantat ausführt, ist im Grunde nslookup.exe, der im Wesentlichen Netzwerkoperationen durchführt.
Nun ja, und zu guter Letzt haben wir auch die Adresse des Kommando- und Kontrollsystems ermittelt, in diesem Fall des Implantats, das mehrere Versuche unternommen hatte, eine Verbindung zur C2-Adresse herzustellen.
Nachdem wir nun die Analyse dieses grundlegenden Implantats abgeschlossen haben, werden wir uns als nächstes den infrastrukturell bedingten Artefakten zuwenden.
Infrastrukturanalyse.
Bei der ersten Kampagne stellten wir fest, dass der Bedrohungsakteur Telegram für seine Kommunikations- und Infrastrukturaufgaben missbraucht hatte, während wir bei der zweiten Kampagne die Kommando- und Kontrollfunktionen aus dem Implantat extrahierten.
Bei genauerer Betrachtung der Infrastrukturdetails stellten wir fest, dass es mehrere Weiterleitungen zur HTTPS-Version der Webseite gab. Die letzte Antwort, die wir erhielten, stammte von Port 443, bei dem es sich unserer Meinung nach um den Port für die Kommunikation mit dem C2-Server handelte.
Als Nächstes stießen wir bei der Überprüfung der Infrastruktur auf ein interessantes Detail. Die der Domain zugeordnete IP-Adresse war weiterhin mit einem netvigil.org-CNAME verknüpft und verwendete nach wie vor ein für diese Domain ausgestelltes TLS-Zertifikat, anstatt des von uns analysierten. Dies deutet darauf hin, dass der VPS zuvor netvigil.org gehostet und nie vollständig für die neue Domain rekonfiguriert wurde. Wir gehen davon aus, dass solche Überreste, bei denen der zugrunde liegende Host Zertifikate oder virtuelle Host-Einträge aus einer früheren Konfiguration beibehält, häufig auf kostengünstiger oder wiederverwendeter Infrastruktur anzutreffen sind, wie sie oft bei böswilligen Aktivitäten vorkommt.
Wir glauben, dass der Akteur einfach eine neue Domain auf einen bestehenden Server umgeleitet hat, ohne die ältere Konfiguration zu bereinigen.
Eine Überprüfung des Zertifikatsverlaufs in Censys untermauert diese Einschätzung zusätzlich. Bei der Abfrage von netvigil.org identifizierten wir mehrere aktive und kürzlich ausgestellte Zertifikate, die mit derselben Domain verknüpft sind, einschließlich Wildcard-Einträgen (*.netvigil.org).
Fazit
Wir schließen daraus, dass die beiden Kampagnen zwar unterschiedliche Motive verfolgen, aber ein recht ähnliches Vorgehen beim Missbrauch von AV-Icons auf Implantaten zur Ausführung von Angriffen anwenden. Dies verbindet beide Kampagnen unter dem Cluster UNG0801. Die erste Kampagne missbraucht das Icon und das Design von Check Point für die Auslieferung des PYTRIC-Implantats, das verheerende Aktionen wie das Löschen von Systeminformationen durchführt. Die zweite Kampagne missbraucht ebenfalls das Icon von Sentinel One und ein etwas ähnliches Design für die Auslieferung des RUSTRIC-Implantats, das unserer Ansicht nach ausschließlich Spionagezwecken dient.
Die Zuordnung gestaltet sich in der Tat schwierig und komplex, doch aufgrund der recht ähnlichen Vorgehensweise und des vergleichbaren Zeitrahmens der Kampagnen ordnen wir diese der Operation IconCat bzw. UNG0801 zu. Obwohl es einen gewissen Widerspruch gibt, gehen wir davon aus, dass die erste Kampagne nicht auf Datendiebstahl oder Spionage abzielt, während die zweite Kampagne auf Spionage ausgerichtet ist und das Verhalten einer Advanced-Persistent-Threat-Gruppe (APT) imitiert.
Damit ist unsere Recherche abgeschlossen und die oben genannten Gründe begründen die Annahme, dass die Kampagnen mit einiger Sicherheit in einem Cluster zusammengefasst werden können. was Änderungen unterliegen kann sowie die Hervorhebung bestimmter Unterschiede.
SEQRITE Schutz.
- Injizieren
- Win64
- Trojan.50253.GC
- Trojan.50255.GC
- Trojan.50254.GC
IOCs
| Hasch CBD | Dateityp |
| 6df21646d13c5b68c14c70516dfc74ef2aef4a4246970d7f4fbd072053ba40e6 | Outlook |
| 6f079c1e2655ed391fb8f0b6bfafa126acf905732b5554f38a9d32d0b9ca407d | Dokument |
| 77ceeb88a1fe4fb03af1acc589e02aeb156e3b22b110124ce1b25c940b0d9bbe | Postleitzahl |
| 54ebdea80d30660f1d7be0b71bc3eb04189ef2036cdbba24d60f474547d3516a | EXE |
| 2afcac3231235b5cea0fc702d705ec76afec424a9cec820749b83b6299d1fe1b | EXE |
| e422c2f25fbb4951f069c6ba24e9b917e95edb9019c10d34de4309f480c342df |
Host-/IP-Adressen
| stratioai[.]org |
| hxxps://www[.]dropbox[.]com/scl/fi/e2tctz6iy0s81dcxysbkf/help.pdf?rlkey=4b3uydquzd0h5xe7lk0gk95r9&st=c1qfydwi&dl=1 |
| 159 [.] 198 [.] 68 [.] 25 |
MITRE ATT & CK
| Taktik | Technik-ID | Technikname | Wie dies für die Operation IconCat gilt |
| Erster Zugriff | T1566.001 | Phishing: Spearphishing-Anhang | Beide Kampagnen setzen auf bösartige PDF- und Word-Dokumentanhänge, die per Spear-Phishing verbreitet werden. |
| T1566.002 | Phishing: Spearphishing-Link | Kampagne I fordert die Opfer auf, einen gefälschten „Sicherheitsscanner“ von Dropbox herunterzuladen. | |
| T1204.002 | Benutzerausführung: Schädliche Datei | Die Opfer werden durch Social Engineering dazu gebracht, PDF-/Word-Dokumente manuell zu öffnen. | |
| Ausführung | T1059.006 | Befehls- und Skriptinterpreter: Python | Kampagne-I setzt eine mit PyInstaller gepackte Python-Malware (PYTRIC) ein. |
| T1059.005 | Befehls- und Skriptinterpreter: Visual Basic | Kampagne II verwendet bösartige VBA-Makros in einem Word-Dokument | |
| T1047 | Windows Management Instrumentation | RUSTRIC wird über WMI (Win32_Process.Create) ausgeführt. | |
| Verteidigungsflucht | T1036.005 | Maskierung: Übereinstimmung mit legitimem Namen oder Ort | Beide Kampagnen geben sich als vertrauenswürdige Antivirenhersteller (Check Point und SentinelOne) aus. |
| T1027 | Verschleierte Dateien oder Informationen | Die Nutzdaten sind im Word-Dokument hexadezimal kodiert. | |
| T1218 | Signierte binäre Proxy-Ausführung | Die Ausführung von Schadsoftware nutzt vertrauenswürdige Windows-Binärdateien (z. B. wmic, nslookup, whoami, hostname). | |
| Bewertung | T1518.001 | Erkennung von Sicherheitssoftware | RUSTRIC listet 28 verschiedene Antiviren- und EDR-Produkte auf, indem es bekannte Dateipfade und Prozessindikatoren überprüft. |
| Command and Control | T1105 | Ingress-Tool-Übertragung | Kampagne-I ruft die zweite Stufe der Nutzlast von Dropbox als Teil der Infektionskette ab. |
| T1071.001 | Application Layer Protocol: Webprotokolle | Beide Implantate versuchen, die vom Angreifer kontrollierte C2-Infrastruktur über standardmäßige webbasierte Protokolle zu verbinden. |
