Jelen esetben a tettes egy „Desbloquear Conteúdo” (portugál: „A tartalom feloldása”) nevű bővítmény, amely valójában MitM (Man-in-the-Middle – közbeékelődéses támadás) támadásokat hajtott végre. Amikor egy felhasználó egy bank honlapjára látogatott, egy rosszindulatú script átirányította a forgalmat a kiberbűnözőkhöz tartozó proxy szerveren keresztül, amely lehetővé tette a bűnözőknek, hogy elemezzék és visszaéljenek a szerveren keresztül küldött adatokkal.

A bővítmény tartalmazott egy olyan scriptet, amely lehetővé tette, hogy a felhasználók bizonyos adatait „kicsomagolja”. Például, ha egy felhasználó meglátogatta a bank bejelentkező felületét, akkor a malware egy olyan képernyőt jelenített meg, amely pontosan ugyanúgy nézett ki, mint az adott banké. Az itt megosztott adatok – felhasználónév, jelszó, megerősítő kódok stb. – végül a kiberbűnözőkhöz kerültek.

A telepítés során a Chrome bővítmények számos olyan hozzáférési jogosultságot kérnek, amelyek sokszor közel korlátlan lehetőséget adnak a számítógépünkhöz. A legtöbb rosszindulatú programnak csupán egy engedélyre van szüksége: „Olvassa és változtassa meg az összes adatot a meglátogatott webhelyeken”.

A domain, amely a csaló C&C szerveren volt, ugyanazt az IP-címet használta, mint korábbi kártékony programok és ennek köszönhetően vonta magára a szakértők figyelmét. Miután a vizsgálatok megerősítették a kutatók gyanúját, jelezték a Google-nek a problémát, akik gyorsan el is távolították azt az áruházból.