برمجية خبيثة تعمل دون واجهة مستخدم، تفكك حمولة إضافية وتتصل بخادم تحكم لتنزيل مكونات أخرى.
استخدمت مجموعة MoYu تطبيق تحديث شرعياً تابعاً لمزوّد صيني لوحدات رأس تعمل بنظام أندرويد، ونشرت برمجية JarService التي تستغل الأجهزة في شبكة وكيلة وعمليات احتيال إعلاني. وتقول Kaspersky إن DoFun عالجت المشكلة بعد إبلاغها بها، بينما لا تزال آلية الاختراق الأولية غير واضحة.