این تروجان اطلاعات ورود را از برنامه‌های بانکی نصب شده بر روی دستگاه کاربر به سرقت می‌برد. علاوه بر این، بدافزار مذکور، امکان دسترسی به رمز عبور یک‌بار مصرف و رمزهای احرازهویت چند عاملی را به مهاجم می‌دهد.
این نرم‌افزار هنگامی که برای اولین بار با اتصال به سرور Firebase راه‌اندازی می‌شود، URL پی‌لودِ بدافزار بانکی را دریافت می‌کند؛ سپس نمونه‌های بدافزار بانکی مخرب Xenomorph از Github دانلود می‌شوند. در مرحله بعدی، برای جستجوی دستورات بیشتر و گسترش اثرات مخرب، با استفاده از محتوای صفحه تلگرام یا یک کد ثابت، با سرورهای فرمان و کنترل (C2) ارتباط برقرار می‌کند. پس از اجرا، پی‌لود بانکی به صفحه تلگرام می‌رسد و محتوای میزبانی شده در آن صفحه را دانلود می‌کند. در تصویر زیر، چرخه عملکرد بدافزار مذکور را مشاهده می‌کنید.
گفتنی است در صورتی که یک برنامه مجاز در دستگاه آلوده نصب شده باشد، یک صفحه ورود جعلی که مربوط به برنامه بانکی هدفمند است، به قربانی نمایش داده می‌شود. اغلب ابزارهای فیشینگ، به فریب کاربران جهت نصب برنامه‌های مخرب متکی هستند.
کاربران باید به برنامه‌هایی که بر روی دستگاه خود نصب می‌کنند، توجه داشته باشند و همچنین برنامه Play Store نباید کاربران را مجبور به نصب نرم‌افزار از منابع نامعتبر کند. در نهایت باید گفت که آگاهی کاربر در خنثی کردن تاکتیک‌های مختلف فیشینگ بسیار حائز اهمیت می‌باشد.
