Atak taki zaczyna się zawsze od wysłania spamu, któremu towarzyszy załącznik .docx. Gdy użytkownik otworzy załącznik, dokument wyświetla osadzony element przypominający fakturę lub paragon. Gdy użytkownik kliknie taki element, ten uruchomi malware JavaScript, który z kolei otwiera kilka skryptów PowerShell. Jeden z nich generuje podpisany certyfikat root, który jest później wykorzystywany do monitorowania ruchu HTTPS. Inny skrypt dołącza ten sam certyfikat do przeglądarki Firefox

Jest jeszcze trzeci skrypt. Ten instaluje na komputerze klienta, który komunikuje się z siecią Tor, w której znajduje fałszywy serwer proxy. Jednocześnie malware zmienia konfigurację przeglądarki w taki sposób, że komunikuje się ona nie z prawdziwym serwerem proxy, ale z fałszywym funkcjonującym w sieci Tor. W ten sposób haker może kontrolować cały webowy ruch obsługiwany przez komputer (tym HTTPS), gdyż trafia on do fałszywego serwera proxy.