Blackpoint Siber Güvenlikは、GoベースのHollowFrameローダーとRustベースのMatryoshkaマルウェアファミリーが、ある法律事務所を標的としたスピアフィッシング攻撃に使用されたことを確認した。攻撃は、暗号化されたアーカイブへのリンクを含むスピアフィッシングメッセージで開始され、Windowsショートカット（LNK）ファイルが実行されて続く。このファイルは、特権昇格、Microsoft Defender保護の弱体化、追加ペイロードのダウンロードを行う多段階のチェーンをトリガーする。

HollowFrameは、正規のPython実行ファイル（"python.exe"）と悪意のあるDLL（"python311.dll"）からなるDLLサイドローディングペアを介して起動される。Matryoshkaは、HTTPベースの通信とコマンド実行をサポートするバリアントと、GitHubをコマンド・アンド・コントロール（C2）に利用する別のバリアントが存在する。これらの機能により、認証情報の窃取、横移動、さらなる領域侵害のための追加ツール配布が可能になる。

攻撃は二つのエンドポイントで実行され、LNKファイルは「Case Documents」と名付けられた。HollowFrameはモジュラーなローダー兼永続性フレームワークとして機能し、追加コンポーネントをロードするための多様な手法をサポートする。