攻擊者利用一個(gè)看起來(lái)像是正宗俄羅斯央行網(wǎng)站(cbr.ru)的網(wǎng)址--cbr.com.ru--向銀行職工發(fā)送招聘郵件，進(jìn)而誘惑他們點(diǎn)開(kāi)郵件中的鏈接。當(dāng)點(diǎn)擊鏈接后網(wǎng)頁(yè)會(huì)跳轉(zhuǎn)到一個(gè)網(wǎng)頁(yè)ZIP文件，在點(diǎn)擊下載并解壓后，Ratopak木馬病毒就開(kāi)始入侵當(dāng)前設(shè)備。

賽門鐵克指出，除了使用了一個(gè)虛假的域名之外，攻擊者還犯了另外一個(gè)明顯的錯(cuò)誤，發(fā)件人的名字跟郵件里邊提供的發(fā)件人簽名不一致。

至于Ratopak，研究人員表示，它是一款非常強(qiáng)大、入侵性非常強(qiáng)的惡意軟件，它可以記錄下被感染者的鍵盤敲擊動(dòng)作、截取電腦屏幕、獲取剪貼板數(shù)據(jù)、下載其他文件等。

另外，Ratopak還通過(guò)使用buh（在俄羅斯中代表會(huì)計(jì)）等域名來(lái)掩蓋自己正在偷竊數(shù)據(jù)的罪行。

Ratopak此前還在其他的網(wǎng)絡(luò)安全公司報(bào)告中出現(xiàn)過(guò)，它被發(fā)現(xiàn)在攻擊俄羅斯多家公司的會(huì)計(jì)部門。

令人感到奇怪的是，在Ratopak的源代碼中發(fā)現(xiàn)一個(gè)過(guò)濾器，在它遇到非俄語(yǔ)或?yàn)蹩颂m語(yǔ)的時(shí)候會(huì)自行終結(jié)攻擊進(jìn)程。這讓賽門鐵克相信，攻擊者應(yīng)該來(lái)自俄羅斯本國(guó)。