Атакующие автоматически сканируют сайты в поисках уязвимых систем управления содержимым (CMS) и расширений. Найденные ошибки позволяют загружать файлы без авторизации, выполнять команды на сервере и обрабатывать специально подготовленные данные.
В кампании задействованы уязвимости в 17 популярных программах и плагинах, включая Simple File List, Gravity Forms, Ninja Forms File Uploads и Craft CMS. Большинство из них имеют критический уровень опасности с оценкой CVSS 9.8–10.0, что говорит о простоте эксплуатации.
После взлома сайта злоумышленники устанавливают веб-оболочки, обеспечивающие постоянный удалённый доступ к серверу. Специалисты рекомендуют проверять каталоги сайтов на неизменные файлы и восстанавливать скомпрометированные системы из чистых резервных копий.