Laut ESET-Forscher Filip Jurčacko war die Datei, die Betroffene zunächst von der Sqgame-Website herunterluden, nicht schädlich. Bösartig wurde sie erst durch ein nachgeliefertes Update-Paket der Plattform, die seit mindestens November 2024 kompromittiert war. Wann die Website erstmals unterwandert wurde und der Angriff auf die Lieferkette begann, ließ sich nach Angaben von Jurčacko nicht bestimmen.
Beim ersten Start übermittelt die Malware den Angreifern zahlreiche Informationen über das Gerät. Den Forschern zufolge kann sie zudem über das Mikrofon Audio aufzeichnen und die Umgebung des betroffenen Geräts abhören. Außerdem durchsucht sie angeschlossene externe Speicher nach bestimmten Dateitypen.
APT37 ist seit 2012 aktiv und soll dem nordkoreanischen Ministerium für Staatssicherheit zugeordnet sein. Die Gruppe konzentriert sich überwiegend auf Spionagekampagnen gegen Südkorea und andere asiatische Länder und hat in der Vergangenheit Regierungs- und Militäreinrichtungen sowie nordkoreanische Überläufer ins Visier genommen.
Die von APT37 genutzte Windows-Variante von BirdCall wurde 2021 zunächst vom südkoreanischen Sicherheitsanbieter AhnLab und weiteren Akteuren entdeckt. ESET kontaktierte Sqgame nach eigenen Angaben im Dezember 2025, erhielt jedoch keine Antwort. Das Update-Paket ist inzwischen nicht mehr schädlich.
Es ist nicht der erste Fall dieser Art: Im vergangenen Jahr stießen Forscher auf eine weitere von APT37 entwickelte Android-Spyware, die in Apps eingebettet war, die sich im Google Play Store finden ließen. 2024 soll die Gruppe zudem südkoreanische Wissenschaftler und ein auf Nordkorea spezialisiertes Nachrichtenportal angegriffen haben.