| Hashe | Fáze 1 (dropper) / SHA-256 | feb46ecf8212f3d6d43afff5ff37558a97486ebea72059ea03b29b53f42ed23c |
| Hashe | Fáze 2 (Psyduck) / SHA-256 | 6f732fbbcbce8f4af84d65d6f016113819e3de4616e1b644b3d4c2086fdabe09 |
| Síť | C2 doména | duck12.dynuddns.net |
| Síť | C2 port | 1234 |
| Síť | C2 protokol | HTTP |
| Síť | C2 endpoint | /Vre |
| Síť | C2 endpoint | /AW |
| Síť | C2 endpoint | /SS |
| Síť | C2 endpoint | /CF |
| Síť | C2 endpoint | /DF |
| Síť | C2 endpoint | /DR |
| Síť | Externí služba pro zjištění IP | https://icanhazip.com |
| Host | Dočasný vytvořený soubor | %TEMP%\agent_1781054578.ps1 |
| Host | Název uloženého spustitelného souboru | %TEMP%\ce.exe (CK command) |
| Host | Název uloženého spustitelného souboru | %TEMP%\update.exe (/DLF default) |
| Host | Název globálního mutexu | Global\677d95b1-c2a4-4c21-a54f-874ddf08e8c9 |
| Host | Prefix unikátního ID oběti | app_ |
| Host | Oddělovač C2 příkazů | |V| |
| Host | Řetězec používaný pro maškarádu | Apex Monitoring Co Fleet Monitor Agent |
| Chování | Vzor User-Agent | app_<random>\<hostname>\<user>\<OS>\<AV>\<UAC>\<.NET>\<exclusions>\<window> |
| Chování | Parametr pro obejití Execution Policy | -ep bypass |
| Chování | Parametr skrytého spuštění | -WindowStyle Hidden |
| Chování | WMI namespace a třída | root/SecurityCenter2: AntiVirusProduct |
| Chování | Čtení registry klíče | HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System (ConsentPromptBehaviorAdmin) |