Cara kerja perangkat mata-mata ini adalah: begitu iklan yang terinfeksi muncul di suatu perangkat, perangkat tersebut pun ikut terinfeksi. Akibatnya, perangkat itu dimata-matai, dan seluruh data serta informasi yang ada di dalamnya dikirimkan kepada pihak yang melakukan pencurian data tersebut.
Perangkat lunak berbahaya ini dirancang untuk mengumpulkan berbagai data sensitif, termasuk berkas, dokumen, serta data peramban seperti cookie, penanda, dan kredensial yang tersimpan. Selain itu, perangkat ini mampu merekam ketukan tombol, mengambil tangkapan layar, merekam input dari mikrofon dan kamera web, serta mencuri surel dan pesan dari berbagai platform komunikasi populer.
Untuk menghindari deteksi oleh mekanisme keamanan, perangkat mata-mata ini sering menggunakan saluran komunikasi terenkripsi dan memecah data curian menjadi bagian-bagian lebih kecil yang dikirimkan secara bertahap. Alat khusus yang digunakan ini diperkirakan bernilai jutaan dolar.
Insiden ini menyoroti betapa canggihnya ancaman yang ditimbulkan oleh kelompok seperti Candiru beserta klien mereka, yang menggunakan berbagai teknik untuk menembus sistem pertahanan keamanan modern. Dalam laporannya, Citizen Lab, sebuah unit riset di Universitas Toronto, menyimpulkan bahwa Discover-Tech membeli iklan yang telah disisipi perangkat mata-mata. Melalui iklan tersebut, perangkat pengguna kemudian diarahkan menuju 'malware' buatan Candiru.
