Hackers plegen gecoördineerde aanvallen op hotels door valse klachten en negatieve recensies te versturen, gericht aan medewerkers van de receptie, reserveringen en gastrelaties. De berichten, die details bevatten over vuile kamers, geschillen met personeel of dreigementen met juridische stappen, worden door onderzoekers met gematigde zekerheid toegeschreven aan aanvallers die generatieve AI gebruiken om de formulering van hun e-mails te variëren.

Deze e-mails bevatten links naar vermeende foto's, video's of documenten. Bij het openen van de link wordt een archief gedownload dat een kwaadaardige Windows snelkoppeling (LNK-bestand) bevat, vermomd als een JPG-afbeelding. Het uitvoeren van dit LNK-bestand start code, in plaats van een afbeelding te tonen. Het archief bevat eveneens een dummy MP4-bestand waarvan de grootte bij elke download verandert.

De snelkoppeling downloadt vervolgens Node.js, een omgeving voor het uitvoeren van JavaScript, waarna een van de malwarefamilies, EtherRAT of TONResolver, wordt geïnstalleerd. Deze malwarefamilies maken gebruik van publieke blockchains om hun command and control (C2) servers te lokaliseren, in plaats van te vertrouwen op een vast adres in de malware zelf. EtherRAT leest een Ethereum smart contract via een publieke JSON-RPC service om het C2 domein of IP-adres te achterhalen. TONResolver volgt een vergelijkbaar proces met behulp van een publieke TON blockchain API. Deze methode, 'blockchain dead drop resolving' genoemd, slaat aanwijzingen naar C2-infrastructuur op de blockchain op. Operators kunnen nieuwe serverbestemmingen publiceren via een transactie, waardoor geïnfecteerde apparaten nieuwe servers kunnen vinden. Het blokkeren van toegang tot Ethereum alleen garandeert geen bescherming, aangezien campagnes die de andere familie gebruiken nog steeds toegang kunnen hebben tot TON.

Onderzoekers van Cofense identificeerden EtherRAT en TONResolver in deze campagnes. De activiteit wordt met gematigde zekerheid beschouwd als een voortzetting van eerdere phishingcampagnes gericht op Booking.com. Deze eerdere aanvallen maakten gebruik van valse boekingsberichten die personeel naar pagina's leidden waar zij commando's moesten plakken in het Windows Uitvoeren-venster. Destijds verspreidden deze campagnes vaak PureRAT of NetSupport Manager.

Hotelteams wordt geadviseerd om onverwachte links in klachten met grote voorzichtigheid te behandelen. Cofense beveelt aan om personeel te trainen in het herkennen van kwaadaardige e-mails. Publieke klantenservice-, verkoop- en business development-inboxen lopen vergelijkbare risico's. Beveiligingsteams wordt aangeraden om onverwachte Node.js-activiteit op werkstations te onderzoeken.