ทางทีมวิจัยเผยว่า การแพร่กระจายมัลแวร์ดังกล่าวจะเริ่มจากการใช้งานโฆษณาออนไลน์ (Online Advertisement) ที่อ้างว่าเป็นซอฟต์แวร์ Claude เวอร์ชันเดสก์ท็อป (Desktop) เมื่อเปิดลิงก์ดังกล่าวเข้าไปก็จะนำไปสู่เว็บไซต์ที่มีหน้าตาน่าเชื่อถือพร้อมปุ่มให้เหยื่อดาวน์โหลดซอฟต์แวร์ปลอม หลังจากเหยื่อดาวน์โหลดแล้วทำการติดตั้งก็จะนำไปสู่การฝังมัลแวร์ลงเครื่องแบบหลากขั้นตอน (Multi-Stages Infection) เริ่มจากการรันสคริปท์ PoweShell ขึ้นมา โดยสคริปท์นั้นจะทำการเพิ่มโฟลเดอร์ของตัวเองที่อยู่ภายในโปรไฟล์ของเหยื่อ (User Profiles) และเพิ่มชื่อของโฟลเดอร์ที่เกี่ยวข้องเข้าไปยังรายชื่อยกเว้น (Exclusion List) ทำให้เครื่องมือป้องกันอย่าง Microsoft Defender ไม่สามารถตรวจจับได้
หลังจากนั้นตัวมัลแวร์นกต่อ (Loader) ก็จะใช้เทคนิคในการโหลดใช้ไฟล์ DLL ของมัลแวร์เอง หรือ (DLL Sideloading) เพื่อให้ซอฟต์แวร์ตัวจริงดาวน์โหลดไฟล์ DLL ของมัลแวร์ขึ้นมาเพื่อช่วยให้ตัวโค้ดรันบนบริบท (Context) ของตัวช่วย (Helper) Java Chromium Embedded Framework ที่ได้รับการเซ็นรับรอง (Signed) ได้ หลังจากนั้นตัวมัลแวร์ก็จะทำการหลอกให้เหยื่อใส่รหัสล็อกอิน เพื่อใช้ในการอัปเกรดสิทธิ์ใช้งานภายในระบบ (Privilege Escalation) ไปพร้อมกับการตั้งเวลาทำงานที่จะเป็นโหลดตัว Loader ตัวที่ 2 ที่แฝงอยู่ภายในโฟลเดอร์ที่ถูกยกเว้นการตรวจสอบตามที่กล่าวมาข้างต้น ด้วยวิธีนี้จะช่วยให้ตัวมัลแวร์สามารถโหลดขึ้นมาใหม่ได้เรื่อย ๆ แม้เครื่องจะถูกรีบูท (Reboot)
สำหรับรายชื่อของไฟล์ที่จำเป็นต้องระมัดระวังนั้น ผู้อ่านสามารถเข้าไปตรวจสอบได้จากลิงก์อ้างอิงด้านล่าง