به گزارش گرداب، یک محقق امنیتی به نام محمود القدسی (Mahmoud Al-Qudsi) این بدافزار را شناسایی کرد. این بدافزار بدون اطلاع کاربران از طریق اینترنت نصب‌شده و سیستم را آلوده می‌کند. روش این هک به‌این‌ترتیب است که وقتی کاربر از سایت‌هایی که با ورد پرس (WordPress) نوشته‌شده، دیدن کند از طریق کدهای جاوا اسکریپت می‌تواند چگونگی نمایش سایت را انتخاب کند، سپس پیامی مبنی بر عدم وجود فونت لازم روی سیستم خود دریافت کرده و ترغیب به نصب فونت تقلبی و مدنظر هکر می‌شود و درنتیجه سیستم کاربر به بدافزار آلوده خواهد شد.

القدسی گفت: «در این حمله که بر اساس فریب کاربر انجام می‌شود، ابتدا کاربر پیامی را مشاهده می‌کند که می‌گوید متن قابل‌خواندن نیست و شما فونت را در اختیار ندارید و نیاز است آن را دانلود و نصب کنید. این متن در یک پیام هشدار که توسط هکر طراحی‌شده نمایش داده می‌شود و کاملاً واقعی به نظر می‌رسد. پیام نمایش داده‌شده می‌گوید: "صفحه وب به‌درستی نمایش داده نشده زیرا از فونت (HoeflerText) استفاده‌شده است. شما برای رفع این مشکل و نمایش متن، نیازمند به‌روزرسانی فونت‌های کروم (Chrome Font Pack) خود هستید".»

با کلیک روی دکمه (Update) رنگ آن به آبی تغییر کرده و فایلی به نام (Chrome Font v7.5.1.exe) دانلود شده و صفحه وب با نمایش جلوه‌های ویژه گرافیکی کاربر را به اجرای ویروس ترغیب می‌نماید.

این فایل پس از نصب توسط هیچ آنتی‌ویروسی قابل‌ردیابی نبوده و یا گوگل کروم را به‌عنوان ویروس نشان می‌دهد. از 59 آنتی‌ویروس بررسی‌شده فقط 9 مورد از آن‌ها می‌توانند کروم را به‌عنوان فایل خطرناک شناسایی کنند. اگر به این بدافزار آلوده شوید، فایل‌ها و اسناد شما مورد سوءاستفاده قرارگرفته و هسته سیستم‌عامل شما موردحمله قرار می‌گیرد.

این در حالی است که کروم مخرب بودن فایل را تشخیص داده و پیام هشداری مبنی بر (این فایل اغلب منتقل نمی‌شود، آیا مسدود شود؟) نمایش می‌دهد.

تد بیردز لی (Tod Beardsley) محقق رپید 7 (Rapid7) نوشت: «تاکنون حملات متعددی برای محدودسازی سایت‌های ورد پرس انجام‌شده و موفق نبوده‌اند، اما متأسفانه این حمله باهدف تضعیف سایت‌های ورد پرس طراحی‌شده است.»

وی افزود: «کاربران کروم باید از آگاهی لازم برخوردار شوند تا در زمان روبه‌رو شدن با پیام‌ها بر روی صفحه وب تصمیم درست بگیرند. به‌عنوان‌مثال کروم هیچ پیامی مبنی بر دانلود فونت ازدست‌رفته ارائه نمی‌کند و تمامی این فرمان‌ها از سوی منابع مخرب و کمپانی‌های تبلیغاتی که بدافزارها را در قالب تبلیغات به سیستم شما منتقل می‌کنند، ارسال می‌شود. در موارد بسیار نادر مرورگر نیاز به ارتباط امنیتی یا هشدار درباره نیاز به تنظیم مجدد به کاربر می‌دهد. این هشدارها به‌صورت متداول نمایش داده‌شده، مانند هشدار (اتصال شما شخصی نیست"Your connection is not private") که این هشدار جهت گواهی امنیتی SSL بوده است.»