Skript mit schädlichen Aktivitäten
Nachdem Nutzer auf „Installieren“ klicken, wird ein Installationsprogramm für eine legitime Anwendung gestartet; im Hintergrund jedoch ein Skript mit schädlichen Aktivitäten ausgeführt. Dabei lädt Gipy Schadprogramme von Drittanbietern, die als passwortgeschützte ZIP-Archive verpackt sind, über GitHub herunter und startet sie. Die Experten von Kaspersky haben über 200 dieser Archive analysiert, die eine Vielzahl an Bedrohungen enthielten:
- den berüchtigten Passwordstealer Lumma
- die Passwordstealer RedLine und RisePro sowie den Golang-basierten Loli
- den modifizierten Corona-Cryptominer Apocalypse ClipBanker
- mehrere RATs (Remote Access Trojan), darunter DCRat und RADXRat
- die Golang-basierte Backdoor TrueClient