此LNK文件会打开恶意程序及诱饵PDF文件，为了回避侦测，黑客使用.NET程序的混淆工具Confuser处理恶意程序，并将其存放于电脑的启动文件夹，使得该程序能够随着电脑开机运行。

而该恶意程序会从远程服务器取得其他作案工具，其中包含经过XOR算法处理的DLL程序库，黑客利用.NET的函数功能Assembly.Load，将解密的程序库加载内存内，而不会在磁盘留下痕迹。

接着，DLL文件将会从黑客控制的服务器下载C#代码，并在受害电脑上编码，完成后也在内存内运行。研究人员在分析的过程，无法取得最终的有效酬载，但根据黑客的代码分析，他们推测此有效酬载的最终目的，是为了从受害电脑窃取机敏数据，而能让攻击者进行下个阶段的恶意活动。

至于攻击者的身分，研究人员表示无法将这起事故的策略、技术、流程（TTP）与已知的黑客组织进行关联，但他们推测，很有可能是长期针对台湾的中国黑客所为。