Die wesentliche Neuerung gegenüber der vorangegangenen Angriffswelle ist eine geografische Verlagerung: Im Zentrum steht nun überwiegend der Bankensektor Indiens, während das übrige Vorgehen weitgehend unverändert bleibt.
Ausgangspunkt des Angriffs ist eine kompilierte HTML-Datei (CHM), in die die schädlichen Komponenten eingebettet sind — eine legitime ausführbare Datei und eine manipulierte DLL — zusammen mit einer HTML-Seite, deren Pop-up den Nutzer zum Klick auf „Yes" auffordert. Dieser Schritt dient dazu, unbemerkt eine JavaScript-Malware von einem entfernten Server („cosmosmusic[.]com") nachzuladen und auszuführen. Deren Aufgabe besteht darin, die in der CHM-Datei enthaltene Schadsoftware mittels DLL-Side-Loading zu entpacken und zu starten.
Bei der DLL („dnx.onecore.dll") handelt es sich um eine aktualisierte Fassung von LOTUSLITE, die mit der Domain „editor.gleeze[.]com" kommuniziert, um Befehle zu empfangen und Daten abzuziehen.
Bei der weiteren Untersuchung der Kampagne stieß Acronis auf ähnliche Artefakte, die auf südkoreanische Ziele ausgerichtet sind — konkret auf Personen aus dem politischen und diplomatischen Umfeld. Nach Einschätzung von Acronis hatte die Gruppe bestimmte Einrichtungen der südkoreanischen und US-amerikanischen Diplomatie- und Politikkreise im Visier, insbesondere solche, die mit Angelegenheiten der koreanischen Halbinsel, der Nordkorea-Politik und sicherheitspolitischen Dialogen im indopazifischen Raum befasst sind.
Auffällig ist nach Darstellung von Acronis die Ausweitung der Zielauswahl: von US-Regierungsstellen mit geopolitischen Ködern über den indischen Bankensektor — mit Implantaten, die Verweise auf die HDFC Bank enthalten, und Pop-ups, die sich als legitime Banking-Software ausgeben — bis hin zu südkoreanischen und US-amerikanischen Politikkreisen. Bei letzteren gab sich die Gruppe als prominente Persönlichkeit der Diplomatie rund um die koreanische Halbinsel aus und nutzte zur Auslieferung gefälschte Gmail-Konten sowie Google Drive als Ablage.