Theo các chuyên gia, chiến dịch này bắt đầu vào tháng 10/2022. Phần mềm độc hại được phát tán dưới vỏ bọc ứng dụng bảo mật, hack trò chơi, gian lận, VPN, cũng như Netflix và các tiện ích khác nhau. Các ứng dụng không được lưu trữ trên Google Play mà trên các trang web của bên thứ ba xuất hiện trong tìm kiếm của Google và cho phép người dùng cài đặt APK theo cách thủ công.
Khi ứng dụng được cài đặt, nó không tự động khởi động vì điều này yêu cầu các đặc quyền bổ sung. Thay vào đó, một quy trình Android tiêu chuẩn được khởi chạy với đề xuất "mở’ ứng dụng sau khi nó được cài đặt, với mong muốn người dùng sẽ khởi chạy ứng dụng ít nhất một lần.
Khi khởi chạy, ứng dụng sẽ hiển thị thông báo lỗi cho biết "The app is not available in your region. Click OK to delete", tạm hiểu là "Ứng dụng không có sẵn ở khu vực của bạn. Nhấn OK để xóa". Nhưng trên thực tế, ứng dụng không bị xóa mà chỉ "ngủ yên" trong 2 giờ, sau đó nó sẽ được kích hoạt khi mở khóa màn hình hoặc khởi động lại smartphone. Khi được khởi chạy, ứng dụng sẽ liên hệ với máy chủ của kẻ tấn công và nhận URL cho quảng cáo sẽ được hiển thị trong trình duyệt di động hoặc ở chế độ toàn màn hình.
Báo cáo từ Bitdefender nói rằng cuộc tấn công chủ yếu nhắm vào người dùng Android ở Mỹ, tiếp theo là Hàn Quốc, Brazil, Đức, Anh và Pháp./.