Mã độc Goldoson nằm trong một thư viện phần mềm từ bên thứ ba, được các công ty dùng để viết ứng dụng cho Android. Trong quá trình soạn ứng dụng, các nhà phát triển đã sử dụng thư viện này và vô tình đưa chúng đến hàng chục triệu người dùng.

Trước khi bị phát hiện, mã độc Goldoson đã có mặt trong hàng loạt ứng dụng thu hút từ 1 triệu đến 10 triệu lượt tải như L.Point with L.Pay của Lotte, Swipe Brick Breaker, Money Manager Expense & Budget, Live Score, Compass 9, Lotte World Magicpass. Các ứng dụng này có 100 triệu lượt tải qua Play Store và khoảng 8 triệu lượt qua kho ứng dụng ONE store tại Hàn Quốc.

Goldoson có khả năng thu thập danh sách ứng dụng của người dùng, lịch sử thông tin về Wi-Fi và Bluetooth, vị trí qua GPS. Các thông tin này giúp tin tặc thu thập dữ liệu, thậm chí xác định được thông tin của nạn nhân. Chúng được thiết lập mặc định gửi đi hai ngày một lần, nhưng cũng có thể thay đổi chu kỳ từ xa theo lệnh của tin tặc.

Ngoài ra, mã độc chứa thành phần giúp gian lận quảng cáo bằng cách nhấp vào quảng cáo trong nền mà không cần sự đồng ý từ người dùng.

Theo đó, Google quy định những dữ liệu kể trên đều là dữ liệu nhạy cảm nên đa số đều yêu cầu người dùng cấp quyền nếu muốn truy cập. Do đó, người dùng từ Android 11 trở lên sẽ được bảo vệ nhờ hạn chế trong quyền truy cập. Tuy nhiên theo nghiên cứu, khoảng 10% trong số các ứng dụng chứa Goldoson vẫn có quyền truy cập mọi thông tin.

Google chưa bình luận về thông tin trên, các nhà phát triển đã nhận được thông báo yêu cầu sửa lỗi. Một số ứng dụng đã được cập nhật để loại bỏ thành phần chứa mã độc, hoặc gỡ bỏ trên kho ứng dụng. Các nhà nghiên cứu khuyến nghị người dùng nên cập nhật hệ điều hành Android và phần mềm lên phiên bản mới nhất để ngăn chặn mã độc này.