Trên lý thuyết, định dạng .exe chỉ thực thi trên hệ điều hành Windows. Để thực thi trên macOS, định dạng này cần hỗ trợ từ phần mềm thứ ba. Tuy nhiên, bằng một cách nào đó, tin tặc đã vượt qua lớp bảo mật của hệ điều hành macOS. Từ đó, cài đặt thành công tập tin .exe.

Cụ thể, các tập tin .dmg độc hại (tệp tin thực thi trên hệ điều hành macOS) được tìm thấy dưới dạng ngụy trang bộ cài đặt của các phần mềm nổi tiếng tại các website torent. Chúng được kết hợp với ứng dụng .exe bằng Mono framework để có thể tương thích hệ điều hành của Apple.

Thông thường, hệ điều hành macOS sẽ hiển thị thông báo lỗi nếu thực thi bất kỳ tập tin nào của Windows và lớp bảo mật Gatekeeper sẽ bỏ qua việc quét tập tin .exe để tìm các mã độc hại khác. Với phương thức xâm nhập này, mã độc này đã vượt qua được cơ chế bảo mật Gatekeeper trên macOS.

Theo nghiên cứu của các chuyên gia Trend Micro, trình cài đặt giả mạo hiển thị việc cài ứng dụng tường lửa Little Snitch, nhưng đồng thời cũng cài luôn cả payload ẩn (gắn bởi Mono) để thu thập và gửi thông tin phần cứng của máy tính về máy chủ C&C.

Sau khi cài đặt, mã độc sẽ tải xuống và nhắc người dùng cài đặt thêm nhiều ứng dụng quảng cáo khác, một số được ngụy trang thành phiên bản hợp pháp của Adobe Flash Media Player và Little Snitch.

Trong quá trình phân tích, các nhà nghiên không phát hiện được mô hình tấn công cụ thể nào. Nhưng số lượng máy bị lây nhiễm cao nhất là tại Anh, Úc, Armenia, Luxembourg, Nam Phi và Mỹ. Điều thú vị là các nhà nghiên cứu không thể thực thi tập tin .exe độc hại đó trên Windows, chương trình luôn đưa ra báo lỗi. Điều đó có nghĩa là mã độc này được thiết kế nhắm mục tiêu cụ thể vào macOS.

Hiện tại, cách tốt nhất để không trở thành nạn nhân của phần mềm độc hại là tránh tải những ứng dụng, tập tin và công cụ trên máy tính từ các website torrent hoặc bất kỳ nguồn không tin cậy.