הם בנו תהליך גיוס מזויף שכלל פורטל קריירה, שאלון ומבחן תכנות לתיקון תקלה במערכת לניהול טיסות. המלכודת הסתתרה בקובץ הפרויקט: עצם פתיחתו בתוכנת הפיתוח Visual Studio עלולה הייתה להפעיל נוזקה, עוד לפני הרצת הקוד, ולאפשר לתוקפים גישה מרחוק. התוקפים השתמשו גם בפלטפורמת הפיתוח GitHub להעברת הוראות לנוזקה ולהורדת רכיבים נוספים, כדי להסוות את התקשורת הזדונית בתוך פעילות שנראית לגיטימית. גיטהאב הסירה את התשתית הזדונית שזוהתה במסגרת המחקר.
ניסיון התקיפה הוא חלק מפעילות רחבה יותר של אותם תוקפים נגד גופים בתחומי התקשורת, התעופה ותשתיות קריטיות נוספות בעיראק, בישראל ובאיחוד האמירויות. בישראל זיהו החוקרים קמפיין נוסף של אותם תוקפים, שכוון נגד גוף ישראלי בחודשים מאי ויוני 2026.
הפיתיון במקרה הזה היה "מסמכי מלחמה שלא פורסמו": עמוד שהתחזה ל-Google Drive הציע להוריד קובץ, אך לחיצה על כפתור ההורדה הובילה לעמוד התחברות מזויף של Google שנועד לגנוב פרטי התחברות. שימוש בתשתית משותפת אפשר לחוקרים לקשר בין הקמפיינים. המחקר אינו מפרט את זהות הגוף הישראלי או האם התוקפים הצליחו לגנוב פרטי התחברות.
פרט יוצא דופן נוסף היה השימוש שעשו התוקפים בסדרה "כנופיית ברמינגהם" (Peaky Blinders). הם השתמשו בשם הסדרה ובשמות דמויותיה בתשתית התקיפה, ואף העלו את שיר הנושא שלה למאגר GitHub ציבורי - אלא שבקובץ השמע נותר מידע שהצביע על אתר מוזיקה איראני שממנו הורד השיר. האזכורים החוזרים לסדרה סייעו לקשר בין פעילויות התוקפים, והמידע בקובץ תמך, לצד ממצאים נוספים, בהערכת החוקרים בדבר הזיקה לאיראן.
לחוקרי פאלו אלטו נטוורקס לא ידוע אם ניסיון התקיפה נגד היעד בעיראק הצליח. כמו כן, התוקפים השתמשו בשם חברת Dubai Airports לצורך ההתחזות, ולא ידוע לחוקרים על פריצה למערכות החברה.
התרעות פיקוד העורף