Вот как работает этот вирус: После запуска заражённое приложение запрашивает доступ к управлению телефонными звонками и SMS-сообщениями. На устройствах c Android ниже версии 6.0 эти разрешения предоставляются во время установки. Далее троян собирает следующие данные: Текущее время IMEI MEID (идентификатор для CDMA-устройств) deviceToken – токен Firebase для зараженного устройства Код страны SIM-карты Код оператора связи Наименование оператора связи Номер телефона IP-адрес смартфона MAC-адрес Wi-Fi-адаптера Наименование производителя смартфона и его модели Затем вирус показывает жертве окно с сообщением о том, что для продолжения работы нужно указать номер телефона. Этот номер передаётся в облачную базу данных, а пользователь видит сообщение о необходимости подтвердить регистрацию. После нажатия на кнопку Submit приложение неожиданно для пользователя запускает игру.

В дальнейшем вирус работает скрытно: он убирает значок приложения с главного экрана, перехватывает SMS-сообщения и отправляет их злоумышленникам. Таким образом они могут получать одноразовые коды для входа в банковский кабинет и подтверждения перевода денег.