Các ứng dụng này gồm: PIP Photo, Processing Photo, Rubbish Cleaner, Inwell Fitness, Horoscope Daily, App Lock Keep, Lockit Master, Horoscope Pi, và App Lock manager.

Trước khi bị Google xóa khỏi Play Store, PIP Photo đã đạt trên 5 triệu lượt tải, Processing Photo có hơn 500 nghìn lượt, các ứng dụng tiếp sau cũng đều có vài chục nghìn đến 100 nghìn lượt tải. Chúng sử dụng một cơ chế đặc biệt nhằm lấy thông tin tài khoản của người dùng, theo phát hiện của các nhà nghiên cứu bảo mật tại Dr.Web.

Theo đó, người sử dụng sẽ được đề nghị đăng nhập Facebook để tắt quảng cáo trong app. Khi chọn cách này, một màn hình đăng nhập Facebook sẽ hiện ra. Theo các chuyên gia, trang đăng nhập này là thật. Tuy nhiên, những kẻ tấn công đã bí mật cài một JavaScript Trojan vào trong ứng dụng để đánh cắp dữ liệu.

Dữ liệu này là các "cookie" chứa thông tin xác thực việc đăng nhập Facebook. Dữ liệu sẽ được gửi lên máy chủ của kẻ tấn công và được sử dụng để đăng nhập Facebook từ xa. Cách làm này cũng tương tự cách mà nhóm 4 người Việt dùng để chiếm tài khoản Facebook và khiến mạng xã hội này thiệt hại 36 triệu USD.

Theo các chuyên gia bảo mật, kẻ xấu có thể dễ dàng thay đổi cài đặt của Trojan. Từ đó, chúng có thể chọn lấy thông tin đăng nhập Facebook hay bất kỳ dịch vụ trực tuyến nào khác.

Hiện cả 9 ứng dụng đã không còn trên Play Store. Đại diện Google cho biết đã xóa các ứng dụng trên, đồng thời cấm các nhà phát triển đứng sau không được đăng phần mềm mới. Trong trường hợp đã sử dụng các app nói trên, người dùng được khuyên xóa ứng dụng, đồng thời đặt lại mật khẩu Facebook, kích hoạt 2 lớp, để đảm bảo an toàn.