L’email, apparentemente inviata dalla compagnia di costruzioni araba “Arabian Construction Co”, comunica alla vittima di essere stata identificata come potenziale fornitore e la invita a consultare informazioni dettagliate nel file allegato. Tuttavia, non c’è alcun allegato; al suo posto, è presente un link (nella sezione RFQ) che rimanda al download di un file TAR condiviso tramite la piattaforma Box.com.

Seppur il metodo di diffusione resti invariato, il passaggio da Vidar ad AsyncRat suggerisce una possibile evoluzione nelle finalità dell’attacco: mentre Vidar è un infostealer specializzato nel furto di credenziali e dati finanziari, AsyncRat consente un controllo remoto prolungato sui sistemi infetti, ampliando le capacità degli attaccanti.