مجموعة تهديد نسب إليها باحثو Kaspersky العملية، وارتبطت سابقاً بشبكة BadBox الخبيثة.
استخدمت مجموعة MoYu تطبيق تحديث شرعياً تابعاً لمزوّد صيني لوحدات رأس تعمل بنظام أندرويد، ونشرت برمجية JarService التي تستغل الأجهزة في شبكة وكيلة وعمليات احتيال إعلاني. وتقول Kaspersky إن DoFun عالجت المشكلة بعد إبلاغها بها، بينما لا تزال آلية الاختراق الأولية غير واضحة.