Verschillende legitieme websites, waaronder populaire kaarten-, weer-, vastgoed-, documentenopslag- en sportwebsites, zijn het toneel geworden van kwalijke advertenties. Deze advertenties, die via normale inventaris verschenen, leiden gebruikers naar valse beveiligingswaarschuwingen die de browsers lijken over te nemen. De uitgevers van de websites zelf meldden geen gecompromitteerde systemen.

De gebruikte operatie maakt gebruik van betaalde Google-advertenties en verborgen code die pas geactiveerd wordt na menselijke interactie. Verkeersgegevens toonden aan dat bijna alle waargenomen bezoeken resulteerden in advertentieklikken, wat wijst op betaalde plaatsingen in plaats van normale zoekresultaten.

De valstrik begint op een cloud-gehoste pagina die een laadindicator en een ogenschijnlijk normale online winkel toont. Deze initiële pagina is ontworpen om geen argwaan te wekken. Pas nadat de pagina wacht op muisbewegingen, wordt een waarschuwing getoond die is afgestemd op het besturingssysteem van de bezoeker. Deze vertraging, bedoeld om geautomatiseerde scanners te omzeilen, zorgt ervoor dat de verborgen instructies pas worden geopend nadat de gebruiker interactie heeft gehad.

Vervolgens ontgrendelt de pagina een verborgen serveradres, haalt een Windows- of Mac-versie van de 'locker' op en bouwt de waarschuwing op in het browsergeheugen. Hierdoor wordt er geen apart lockerbestand over het netwerk verstuurd dat door scanners geïnspecteerd kan worden.

Op Windows imiteert de pagina een Microsoft Defender scan en toont gelaagde infectiewaarschuwingen. Gebruikers van een Mac worden geconfronteerd met waarschuwingen met een Apple-thema. Beide varianten tonen herhaaldelijk een ondersteuningsnummer.

De eerste klik op de advertentie zorgt ervoor dat de browser volledig wordt opgeschaald, waarbij tabbladen en de adresbalk verdwijnen. De pagina verbergt de muiscursor, verstoort sneltoetsen om de browser te sluiten, speelt waarschuwingsgeluiden af en vertraagt de browser opzettelijk. Een knipperende zwarte waarschuwing en een prompt om een tabblad te sluiten, verhogen de druk, maar de computer zelf wordt hierbij niet vergrendeld; de waarschuwing is puur theater en geen bewijs van een daadwerkelijke infectie.

De pagina's dringen er bij bezoekers op aan een zogenaamde ondersteuningslijn te bellen, waarbij een routineklik op een advertentie verandert in een poging geld, persoonlijke gegevens of toegang tot een computer te verkrijgen. De beoogde volgende stap is gevaarlijker: een beller kan worden aangezet tot betaling voor niet-bestaande reparaties, financiële informatie prijsgeven of toegang op afstand verlenen.

Tussen 31 augustus en 14 september 2026 bereikte de kit minimaal 619 organisaties via meer dan 250 advertentiecampagne-ID's op minstens 284 legitieme uitgeversites. Er werden 457 oplichtingshosts geteld. De getroffen organisaties waren voornamelijk gevestigd in de Verenigde Staten, gevolgd door Japan en Australië.

Onderzoekers van Netskope Threat Labs identificeerden de browser-gebaseerde oplichtingskit tijdens het onderzoeken van cloud-gehoste pagina's. Als de pagina verschijnt, wordt geadviseerd het nummer niet te bellen. Netskope adviseert om de Escape-toets enkele seconden ingedrukt te houden om het volledig scherm te verlaten, en vervolgens het tabblad te sluiten. Als dat mislukt, kan het Taakbeheer (Windows) of Force Quit (Mac) worden gebruikt om de browser te sluiten en opnieuw te openen zonder de vorige sessie te herstellen.