Διάφοροι απατεώνες οι οποίοι προωθούσαν adware σε χρήστες του Skype, είδαν τα bots που χρησιμοποιούσαν να αποβάλλονται από το δίκτυο του δημοφιλούς messenger, βάση της νέας πολιτικής της λειτουργίας του δικτύου.
Το κόλπο βασιζόταν σε ψεύτικες κλήσεις προς τους χρήστες, οι οποίο πίστευαν ότι δέχονταν ένα νέο μήνυμα βίντεο. Το username του καλούντος περιελάμβανε όμως link προς domain με κακόβουλα script, που φιλοξενούνταν στο cloud του Amazon AWS. Με το που επέλεγε ο χρήστης το url, ο browser τον μετέφερε σε κάποιο site που απαιτούσε από το χρήστη τη λήψη και εγκατάσταση video player για να δει το υποτιθέμενο μήνυμα βίντεο.
Ο ερευνητής Ronnie Tokazowski, διαπίστωσε ότι παρά το γεγονός ότι γίνεται μια κανονική εγκατάσταση video player στο σύστημα, η διαδικασία εγκατάστασης περιλαμβάνει επίσης άλλα προγράμματα (ορισμένα από αυτά είναι αμφίβολη ως προς τη φύση τους και τις λειτουργίες τους), και πιστεύει ότι είναι μέρος κάποιου προγράμματος affiliate, έτσι ώστε να βγάλουν χρήματα από τις εγκαταστάσεις οι απατεώνες.
Ο ερευνητής έγραψε σε blog τη περασμένη Τετάρτη, για τη διαδικασία εγκατάστασης. Μόλις ο χρήστης τρέξει το εκτελέσιμο αρχείο ως administrator, του εμφανίζεται μια νέα οθόνη με επιλογές για εγκατάσταση διαφορετικών λειτουργιών του προγράμματος. Στη συνέχεια το VideoPlayer.exe, ξεκινά να κάνει λήψη και εγκατάσταση adware στο σύστημα.
Ωστόσο, ο Tokazowski με μια πιο προσεκτική ματιά στη λειτουργία, προσδιόρισε ότι όλες οι IP που χρησιμοποιούνταν στην εκστρατεία, προέρχονταν από τη AWS. Αμέσως έκανε αναφορά στην ομάδα ασφαλείας της Amazon και το θέμα λύθηκε άμεσα με την απομάκρυνση των λογαριασμών αυτών. Οι απατεώνες χρησιμοποιούσαν πάνω από 15 διαφορετικά domains για την απάτη τους.
