Nach der Analyse von Symantec läuft der Angriff in mehreren Stufen ab. Zunächst bringt ein in Go geschriebener Dropper eine i386-Nutzlast auf das System. Persistenz stellt die Schadsoftware über einen systemd-Dienst und einen XDG-Autostart-Eintrag her, der sich als der legitime System-Monitor Conky für Linux und BSD ausgibt.
Die eigentliche Kommunikation läuft über ein Outlook-Postfach. Die Backdoor prüft im Abstand von zwei Sekunden einen Ordner mit dem Namen „Zomato Pizza“ und sucht mithilfe von OData-Abfragen nach eingehenden E-Mails, deren Betreffzeile mit „Input“ beginnt. Die Inhalte dieser Nachrichten sind base64-kodiert und mit AES im CBC-Modus verschlüsselt; die Backdoor entschlüsselt sie und führt die enthaltenen Befehle lokal aus.
Die Ergebnisse der Ausführung werden anschließend wieder AES-verschlüsselt und über Antwort-E-Mails mit dem Betreff „Output“ an den Betreiber zurückgesendet. Um forensische Spuren zu verringern, entfernt die Schadsoftware die ursprüngliche Befehls-E-Mail nach der Verarbeitung mit einer HTTP-DELETE-Anfrage.
Für die Zuordnung zu Harvester spricht laut Symantec die enge Verwandtschaft der Linux-Variante mit der Windows-Version von GoGra. Beide Varianten teilen eine nahezu identische Codebasis, einschließlich derselben Tippfehler in Zeichenketten und Funktionsnamen sowie desselben AES-Schlüssels. Das deutet nach Einschätzung der Forscher stark darauf hin, dass beide Schadprogramme vom selben Entwickler stammen.