File itu disamarkan sebagai PDF, bergabung dengan file pintasan Windows (.LNK) yang mencoba memikat korban dengan menyamar sebagai file teks kata sandi. Setelah file PDF yang dimodifikasi dibuka, lokasi penyimpanan cloud kemudian diluncurkan, mendorong pengguna untuk merujuk kembali ke file teks palsu untuk mendapatkan kata sandi.
Dari sini, file LNK terhubung ke Command Prompt dengan perintah yang mengambil dan memuat muatan yang disimpan dari jarak jauh. Dengan peretas yang sekarang melanggar sistem dengan malware-nya, mereka dapat memperoleh informasi yang relevan tentang sistem target seperti nama pengguna, sistem operasi, CPU, adaptor jaringan, dan proses yang berjalan.
Meskipun sebagian besar karyawan yang melihat email tersebut melaporkannya sebagai mencurigakan, satu orang tidak menyadari sifat menyesatkan dari isinya. Setelah karyawan itu mengunduh dan membuka dokumen palsu, Smirnov mengatakan bahwa dia dapat memeriksa serangan itu sendiri.