Một file tên “video_{4_chữ_số}.zip” đã được tự động gửi tới các nạn nhân qua giao diện Facebook Messenger, trong file nén này chứa file thực thi “video_{random_số}.mp4.exe” với biểu tượng hình video.

Theo nhận định của các chuyên gia CyRadar, cách thức lây lan không hề mới, tuy nhiên cũng như các chiến dịch phát tán qua mạng xã hội, hay các ứng dụng chat phổ biến khác, mã độc lần này có tốc độ lan rộng nhanh nhờ tính kết nối của Facebook và đặc tính tính tò mò, thiếu cảnh giác của phần đông người sử dụng. Sau khi lây nhiễm được vào máy tính nạn nhân, mã độc ăn cắp tài khoản Facebook, tiếp tục phát tán thông qua Facebook của họ, đồng thời lợi dụng máy tính đó để chạy phần mềm đào tiền ảo.

Phân tích về hành vi của mã độc, CyRadar cho hay, người dùng Facebook sau khi tải file zip về, nếu thực thi file exe (giả mạo mp4) bên trong đó, mã độc sẽ được cài đặt lên máy.