La méthode utilisée – de type attaque de l'homme du milieu – consiste à rediriger les requêtes de téléchargement de certains logiciels vers un paquet comportant en plus du logiciel désiré, une variante du logiciel d'interception FinFisher. Parmi les logiciels concernés se trouvent WhatsApp, Skype, WinRAR, VLC media player, Avast Antivirus, TrueCrypt et Threema (en). Cette liste de logiciels détournés couvrent un très large éventail de types d'utilisateurs informatiques. Autant dire qu'il s'agit d'une infection de masse pour surveiller toute une population, ses données et son comportement.