Das Schadprogramm richtet sich etwa nach üblichen Bürozeiten. Zunächst empfängt es Befehle über unscheinbare Twitter-Meldungen. Weitere Instruktionen wie der für Datendiebstahl zu nutzende Cloudserver verbergen sich in harmlos wirkenden Bildern auf GitHub. So entgeht es einer Entdeckung.
