Sobre la ingeniería social del ataque, es común que se convenza a las víctimas para que instalen una aplicación de chat con el pretexto de realizar la transición de la conversación a una plataforma más segura.

Analistas informan que Safe Chat presenta una interfaz engañosa que lo hace parecer una aplicación de chat real y también lleva a la víctima a través de un proceso de registro de usuario aparentemente legítimo que agrega credibilidad y sirve como una excelente tapadera para el software espía.

Un paso crítico en la infección es la adquisición de permisos para utilizar los Servicios de Accesibilidad, de los que posteriormente se abusa para otorgar automáticamente más permisos al software espía.

Estos permisos adicionales permiten que el software espía acceda a la lista de contactos, SMS, registros de llamadas, almacenamiento del dispositivo externo de la víctima y obtenga datos precisos de ubicación GPS del dispositivo infectado.

La aplicación también solicita al usuario que apruebe la exclusión del subsistema de optimización de la batería de Android, que finaliza los procesos en segundo plano cuando el usuario no interactúa activamente con la aplicación.

Los datos robados se cifran mediante otro módulo. Al mismo tiempo, los atacantes también utilizan un certificado «letsencrypt» para evadir cualquier intento de interceptación de datos de la red en su contra.