Ovaj malver ne krade samo sačuvane lozinke, već i kolačiće sesije, informacije o kreditnim karticama, ekstenzije u vezi sa Bitcoinom i istoriju pretraživanja. Prikupljeni podaci se zatim šalju kao prilog na određenu email adresu.
Prema upozorenju koje je objavila Barracuda Networks, napad počinje phishing emailom koji primaoce podstiče da otvore fajl u prilogu koji se odnosi na neku kupovinu.
Ovi emailovi, koji imaju gramatičke greške, dolaze sa lažne adrese. Prilog sadrži ISO fajl, preciznu repliku podataka sa optičkih diskova poput CD-a ili DVD-a. U ovom fajlu je HTA (HTML aplikacija) fajl, koji omogućava pokretanje aplikacije na računaru bez bezbjednosnih ograničenja veb pretraživača, prenosi B92.
Nakon toga, aktivira se malver i to tako što se najprije sa servera preuzima i pokreće JavaScript fajl, koji zatim pokreće PowerShell fajl koji preuzima ZIP fajl sa istog servera koji krije malver za krađu informacija.
Malver nakratko radi na prikupljanju podataka, a zatim briše sve fajlove, uključujući i sebe, kako bi izbjegao otkrivanje.
On je dizajniran da prikuplja različite informacije i fajlove pregledača.
On izvlači MasterKeys iz pretraživača kao što su Chrome, Edge, Yandex i Brave i snima kolačiće sesije, sačuvane lozinke, informacije o kreditnoj kartici i istoriju pregledača. Pored toga, malver kopira podatke iz ekstenzija pretraživača vezanih za Bitcoin, uključujući MetaMask i Coinbase Wallet.
Malver krade i PDF fajlove i zipuje čitave foldere, uključujući one na desktopu, foldere Downloads i Documents i određene %AppData% foldere. Ukradeni podaci se zatim šalju emailom na različite adrese na domenu maternamedical.top, a svaka je namijenjena za određene vrste informacija kao što su kolačići, PDF fajlovi i ekstenzije pretraživača.
