นักวิจัยจาก Red Canary ซึ่งติดตามกิจกรรมของ ChromeLoader มาตั้งแต่เดือนกุมภาพันธ์ ระบุว่า ผู้ควบคุมใช้ ไฟล์เก็บถาวร ISO ที่เป็นอันตราย เพื่อแพร่เชื้อมัลแวร์ให้กับเหยื่อ
โดยทั่วไปไฟล์ ISO ที่เป็นอันตรายจะปลอมตัวเป็นซอฟต์แวร์หรือเกมที่ถอดรหัสเพื่อให้เหยื่อดาวน์โหลดและเปิดใช้งานตัวเอง ยังมีโฆษณาบน Twitter สำหรับเกม Android ที่ถูกแคร็กพร้อมรหัส QR ซึ่งนำไปยังหน้าดาวน์โหลดมัลแวร์โดยตรง
ChromeLoader ดำเนินการอย่างไร
เมื่อผู้ใช้ดับเบิลคลิกไฟล์ ISO ที่เป็นอันตราย ไฟล์นั้นจะถูกติดตั้งเป็นไดรฟ์ซีดีรอมเสมือน มันจะมีไฟล์ปฏิบัติการที่มีนามสกุล .exe เมื่อเรียกใช้ มันจะทริกเกอร์ ChromeLoader และถอดรหัสคำสั่ง PowerShell พร้อมความสามารถในการดึงไฟล์แคชทรัพยากรระยะไกลและโหลดเป็น ส่วนขยายของ Google Chrome
ห่วงโซ่การติดเชื้อบน macOS คล้ายกับบน Windows แต่แทนที่จะใช้ ISO พวกเขากลับใช้ไฟล์ DMG (Apple Disk Image) ซึ่งเป็นรูปแบบทั่วไปในระบบปฏิบัติการของ Apple