Cụ thể, các cuộc tấn công sử dụng các email chứa tệp HTML ("XLS.HTML") giả mạo biên lai giống các giao dịch kinh doanh liên quan đến tài chính. Mục tiêu cuối cùng là thu thập tên người dùng và mật khẩu sử dụng cho các cuộc tấn công.

Microsoft 365 Defender Threat Intelligence Team cho biết trong một phân tích, "Tệp đính kèm HTML được chia thành nhiều phân đoạn, bao gồm các tệp JavaScript được sử dụng để đánh cắp mật khẩu, sau đó được mã hóa bằng nhiều cơ chế khác nhau. Tin tặc đã chuyển từ sử dụng mã HTML văn bản rõ sang sử dụng nhiều kỹ thuật mã hóa, bao gồm các phương pháp mã hóa cũ và bất thường như mã Morse, để che giấu các phân đoạn tấn công này".

Khi mở tệp đính kèm, một cửa sổ trình duyệt sẽ được khởi chạy. Người dùng được yêu cầu đăng nhập lại vì quyền truy cập của họ vào tài liệu Excel đã hết hạn. Trong trường hợp người dùng nhập mật khẩu, họ sẽ được cảnh báo rằng mật khẩu đã nhập là không chính xác, trong khi đó phần mềm độc hại đã tiến hành thu thập thông tin.

Chiến dịch được cho là đã được lặp lại 10 lần kể từ khi được phát hiện vào tháng 7/2020. Trong đó, tin tặc đã chuyển đổi định kỳ các phương pháp mã hóa để che giấu mã độc của tệp đính kèm HTML và các phân đoạn tấn công khác nhau có trong tệp.

Microsoft cho biết hãng đã phát hiện việc sử dụng mã Morse trong các đợt tấn công vào tháng 2 và tháng 5/2021, trong khi các biến thể sau đó của bộ kit phishing có nhiệm vụ hướng nạn nhân đến trang Office 365 hợp pháp thay vì hiển thị thông báo lỗi giả sau khi nhập mật khẩu.

Các nhà nghiên cứu cho biết thêm, “Các cuộc tấn công bằng email tiếp tục tạo ra những kỹ thuật mới để vượt qua các giải pháp bảo mật email.” Trong trường hợp trên, những kỹ thuật này bao gồm việc sử dụng cơ chế mã hóa và mã hóa nhiều lớp cho các loại tệp hiện có đã biết, chẳng hạn như JavaScript. Việc xáo trộn nhiều lớp trong HTML cũng có thể trốn tránh các giải pháp bảo mật của trình duyệt".