這些信件的內容，都包含經過行動版網頁框架Google AMP處理的URL，一旦使用者點選，就會被重新導向到架設在免費網頁伺服器代管服務InfinityFree的網頁，這些網頁含有點選以檢視文件的連結，若是照作，網頁就會檢查使用者字串（User Agent），確認使用者透過Windows電腦存取。

接著攻擊者將使用者導向Windows搜尋的URI，而這個URI會連往TryCloudflare隧道，要求使用者透過Windows檔案總管開啟；若非Windows用戶，駭客則將他們導向特定Google Drive網址，以便收集這些使用者的瀏覽器及網路組態資訊。

一旦使用者依照對話框的指示操作，Windows檔案總管就會如駭客預期進行搜尋，使得用戶在檔案總管看到捷徑檔案（LNK），或是ZIP壓縮檔。值得留意的是，雖然LNK或ZIP檔案實際上存放在外部網路伺服器，但看起來很像在內部網路WebDAV共享資料夾，而讓使用者很容易上當。研究人員指出，攻擊者利用了Windows搜尋檔案格式SEARCH-MS，將搜尋內容設置為WebDAV共用資料夾。

使用者若是開啟檔案總管顯示的檔案，電腦就會呼叫PowerShell，從相同隧道的另一個WebDAV資料夾存取Python主程式，並利用特定的指令碼傳遞參數。

然後，駭客從檔案共享服務OpenDrive下載、開啟特定語言的誘餌PDF檔案，讓使用者降低戒心。在此同時，指令碼也下載思科WebEx執行檔及惡意DLL，透過DLL側載手法執行後門程式Voldemort。

此後門程式駭客以C語言打造而成，並利用Google Sheets充當C2伺服器，攻擊者利用Python程式碼，向後門程式下達相關命令，最終於受害電腦植入Cobalt Strike。研究人員指出，這起攻擊行動並不尋常，因此他們難以判斷駭客實際的目標是僅有少部分企業，但也不排除前述超過70家企業都是目標。