Une nouvelle application Android se présente comme une mise à jour officielle du système de Google et fait fonctionner un code malveillant sur le smartphone de l'utilisateur. Les attaquants peuvent utiliser l'application pour voler une grande quantité de données stockées sur l'appareil. L'application est distribuée via des magasins tiers. Comme l' écrivent les chercheurs en sécurité de Zimperium , les développeurs ont simplement appelé l'application malveillante «System Update». L'application utilise également le logo officiel du groupe de moteurs de recherche Google comme icône. Le nom et le symbole apparaissent également dans le menu de notification, de sorte que l'utilisateur puisse confondre la notification avec des informations du système. L'application prétend rechercher activement des mises à jour. Toute personne qui obtient ses applications exclusivement à partir du Google Play Store officiel ne doit pas être affectée par l'application malveillante. Le logiciel espion est uniquement distribué via des sources tierces. De plus, l'application n'a aucun moyen d'infecter indépendamment d'autres appareils.

Le malware est un cheval de Troie d'accès à distance qui peut accéder à une grande quantité d'informations à partir du smartphone de l'utilisateur et les transmettre à un serveur de commande. Les pirates ont la possibilité d'enregistrer les appels et d'intercepter les messages. L'application collecte également l'historique du navigateur, des photos et d'autres données. Le serveur de commande peut ordonner à un périphérique infecté d'activer la caméra et le microphone. La taille des paquets de données envoyés étant limitée, le malware est difficile à détecter. Cependant, les vrais services de mise à jour n'afficheront pas de notification indiquant que les mises à jour sont en cours de vérification. Au lieu de cela, l'utilisateur n'est informé que si le système a déjà trouvé une nouvelle mise à jour.