Les utilisateurs sont ainsi incités à télécharger des applications malveillantes via des campagnes de phishing, souvent par le biais de messages ou de liens envoyés via les réseaux sociaux. Une fois installées, ces applications volent des données sensibles comme les contacts, les SMS, et surtout les images stockées sur le téléphone, qui peuvent contenir des informations clés pour accéder aux portefeuilles de crypto.

L’infrastructure du malware s’appuie sur des serveurs de commande et de contrôle (C2) qui sont parfois mal configurés, exposant involontairement les données des victimes. Ces données sont ensuite traitées à l’aide de la reconnaissance optique de caractères (OCR) pour identifier et extraire les informations sensibles.

Le malware a récemment évolué pour utiliser des connexions WebSocket, rendant ses communications plus difficiles à détecter. McAfee a pris des mesures pour signaler et bloquer les URL associées à cette menace.