ПО Asus использовалось как первоначальный источник заражения. Хакеры внедряли вредоносный код в модифицированные старые версии ПО, каждый код содержал таблицу со списком определённых MAC-адресов (уникальных идентификационных кодов, которые присваиваются сетевым картам для подсоединения к сети). После запуска на устройстве жертвы зловред проверял, входит ли этот MAC-адрес в список, и если он подходил, то загружался следующий модуль вредоносного кода. В противном случае эта утилита не проявляла никакой дополнительной сетевой активности, и поэтому атака долго оставалась необнаруженной.

"В общей сложности исследователи смогли идентифицировать свыше 600 MAC-адресов в этом списке. ... При исполнении вредоносного кода применялся модульный подход и были предприняты дополнительные меры предосторожности, чтобы предотвратить случайную утечку кода или данных. Это указывает на то, что злоумышленникам было очень важно оставаться незамеченными, атаки же на определённые цели они проводили с хирургической точностью", - говорится в документе.