W wiadomości znajduje się plik, którego nazwa sugeruje, że jest zdjęciem. Po jego otwarciu przeglądarka przenosi nas na stronę internetową przypominającą serwis YouTube. Później wyświetlana jest informacja o potrzebie zainstalowania dodatkowego "kodeka video". Pobrana wtyczka daje dostęp hakerom do wszystkich uprawnień np. loginów i haseł w mediach społecznościowych czy skrzynkach e-mail.