Oxu.Az басылымының жазуынша, бұрын қылмыскерлер APK-файлдарын тарататын және пайдаланушыларға оларды орнатуға мәжбүр етіп, сол арқылы құрылғыға қол жеткізген болса, қазір әлдеқайда жасырын схема қолданылады.
Мамандардың айтуынша, зиянды компонент смартфондағы бағдарламалардың ішіне енеді. Бұл ретте, вирустар тіпті интернетке қосылмай орнатылуы мүмкін.
Group-IB дерегіне сәйкес, пайдаланушы тек "қосымшаны жаңарту қажет" деген хабарламаны ғана көреді. Осындай "жаңартудан" кейін Wonderland SMS-хабарламалар мен бір рет қолданылатын парольдерге (OTP) қол жеткізеді.
Мамандар зиянды кодтың суреттердің ішінде жасырылуы немесе Google Play қызметтері ретінде бетперде жасауы мүмкін екенін атап өтті. Орнатылған соң зұлым бағдарлама OTP-кодтарды ұстап, қылмыскерлерге пайдаланушылардың банк операцияларына қол жеткізуге және олардың картасындағы қаражатты ұрлауға мүмкіндік береді.
Group-IB бағалауынша, Wonderland тарату үшін TrickyWonders деген топ әрекет етеді, олар өз іс-қимылын Telegram арқылы үйлестіреді.