Hakerzy zaprogramowali trojana, który wykorzystuje kanał dyskusyjny Google Groups do rozprzestrzeniania niebezpiecznych poleceń.

Trojan dystrybuujący się za pośrednictwem grup dyskusyjnych istnieje od ponad dekady, ale użycie go w ten jest nowością.

Program sam w sobie jest dość prosty. Ma za zadanie zalogować się do chińskojęzycznej wersji grup dyskusyjnych aby otrzymywać komendy.

Po pomyślnym zalogowaniu się Trojan wysyła zapytania do prywatnej grupy escape2sun. Strona zawiera komendy do aktywowania Trojana. Komenda składa się z numeru indeksu, wierszy poleceń do wykonania oraz opcjonalnie pliku do pobrania.

Odpowiedzi są przesyłane jako posty do grup za pomocą numeru indeksu jako obiekt.

Post i zawartość strony jest szyfrowany przy użyciu szyfru strumieniowego RC4, a następnie algorytmem base64. Atakujący może w ten sposób umieścić poufne komendy i czytać odpowiedzi.