Платформа KnowledgeDeliver использовала стандартный файл конфигурации с одинаковыми ключами ASP.NET machineKey. Получив секретные параметры, злоумышленники создавали поддельный ViewState и выполняли команды на целевом сервере.
Взломщики загружали инструмент BLUEBEAM напрямую в память системного процесса IIS. Скрытая программа принимала зашифрованные команды и запускала дополнительные модули без сохранения файлов на жестком диске.
Атакующие меняли права доступа к системным папкам и добавляли вредоносный код в сценарии платформы. Посетители сайта видели ложное окно безопасности и скачивали Cobalt Strike BEACON.