En lugar de distribuir malware directamente, el dropper contacta con un servidor vinculado a trustbastion[.]com que redirige a un repositorio de conjuntos de datos de Hugging Face que alberga el APK malicioso. La carga útil final se descarga de la infraestructura de Hugging FAce y se distribuye a través de su red de distribución de contenido. 

Para evadir la detección, el actor de amenazas utiliza polimorfismo del lado del servidor que genera nuevas variantes de carga útil cada 15 minutos. Durante el análisis se eliminó el repositorio que servía la carga útil, pero la operación resurgió bajo un nuevo nombre, Premium Club, que utilizaba nuevos íconos pero conservaba el mismo código malicioso. 

Esto le da al malware la capacidad de ofrecer superposiciones de pantalla, capturar la pantalla del usuarios, realizar deslizamientos, bloquear intentos de desinstalación y más. El malware también muestra interfaces de inicio de sesión falsas que suplantan servicios financieros como Alipay y WeChat para robar credenciales, e intenta robar el código de bloqueo de pantalla.

El malware permanece conectado en todo momento al servidor de comando y control, que recibe los datos robados, prosigue a enviar instrucciones de ejecución de comandos, actualizaciones de configuración y también envía contenido falso dentro de la aplicación para hacer que TrustBastion parezca legítimo. 

Los usuarios de Android deben evitar descargar aplicaciones de tiendas de aplicaciones de terceros o instalarlas manualmente. También deben revisar los permisos que solicita una aplicación y asegurarse de que sean necesarios para su formalidad.