Rapid7は、攻撃者のサーバーから回収された1,048ファイルからなるツールセットを分析した。このセットには、WebDAV経由で署名済みWindowsバイナリをマルウェアで汚染するための技術、テストノート、開発プロセスが含まれていた。特にCVE-2025-33053脆弱性は、.urlショートカットがiediagcmd.exeのような署名済みツールを介してWebDAV共有からマルウェアファイルをロードする手法を可能にしていた。この手法は、Windows 11 24H2でInternet Explorerが削除されたため無効になっていた。

攻撃者はこの手法を59種類の署名済みWindowsツールに拡張するためのテストセットを構築した。これらのファイルは.NETツール、LOLBASエントリ、UAC回避手法など、代替ターゲットをカバーしていた。ツールセット内のREADMEファイル、テストマトリクス、CSVマッピングファイルは、AIが生成したテキストの典型的な構造を示していた。Rapid7は、これらの構造がCoderrrのようなオープンソースAIコーディングツールで生成されたと指摘した。

キャンペーンは、メキシコのCURP身分確認サイトを模倣した偽サイトを通じて展開された。ユーザーはPDFのように見えるが、.scr拡張子を持つ実行可能ファイルのダウンロードを強制された。このファイルはInno Setupインストーラーで、メモリ上で動作する.NET情報収集ツールを起動した。5.5日間で77,098件のリクエストが記録され、その82.5%がメキシコからだった。キャンペーンは2026年6月24日以降、急激に減少した。