“Hedeflenen sayfanın kaynak kodu, gelen isteği okuyan ve verileri sunucu üzerinde bir dosyaya yazan bir işleyici (handler) fonksiyon içeriyor.”

Çalınan verileri içeren bu dosya, dış ağlardan da erişilebilir durumda.
Yerel keylogger özelliğine sahip bazı varyantların, kullanıcı çerezlerini (cookies), User-Agent bilgilerini ve zaman damgasını (timestamp) da topladığı tespit edilmiştir.

Bu yöntemin bir avantajı, dışa veri iletimi (outbound traffic) olmaması nedeniyle tespit edilme olasılığının neredeyse sıfır olmasıdır.

Öte yandan, Positive Technologies tarafından tespit edilen ikinci varyant, verileri dışarıya sızdırmak için Telegram botunu kullanıyor. Bu varyant, şifrelenmiş kullanıcı adı ve şifre bilgilerini, sırasıyla APIKey ve AuthToken başlıkları (headers) içinde taşıyan XHR GET istekleri aracılığıyla Telegram’a iletiyor.

Bir diğer yöntemde ise, DNS tünelleme ile birlikte kullanılan HTTPS POST isteği, kullanıcı kimlik bilgilerini göndererek kurumların güvenlik önlemlerini atlatmayı hedefliyor.

Ele geçirilen sunuculardan 22’sinin devlet kurumlarına ait olduğu, diğer vakaların ise bilişim, sanayi ve lojistik sektörlerindeki şirketleri hedef aldığı belirlendi.
En çok hedef alınan ilk 10 ülke arasında Vietnam, Rusya, Tayvan, Çin, Pakistan, Lübnan, Avustralya, Zambiya, Hollanda ve Türkiye yer alıyor.

Araştırmacılar şöyle belirtti:

“İnternetten erişilebilir çok sayıda Microsoft Exchange sunucusu hâlâ eski güvenlik açıklarına karşı savunmasız durumda. Saldırganlar, kötü amaçlı kodu yasal kimlik doğrulama sayfalarına gömerek uzun süre tespit edilmeden kalabiliyor ve kullanıcı kimlik bilgilerini açık metin (plaintext) olarak ele geçirebiliyor.”