Con los permisos concedidos, el malware establece conexión con un servidor de comando y control (C2) y activa la captura de pantalla en tiempo real mediante la API MediaProjection de Android —herramienta legítima que permite transmitir el contenido del dispositivo—, lo que le permite al operador observar todo lo que ocurre en el teléfono de la víctima.
 

El troyano también monitorea los textos visualizados en pantalla y los compara con una lista de más de 80 frases en portugués relacionadas con transacciones financieras: "pix enviado", "transferência concluída", "saldo disponível", entre otras. Estas expresiones están codificadas en base64 dentro del código del malware para dificultar su detección por parte de soluciones de seguridad.
 

Cuando la víctima inicia una transferencia Pix, el operador sigue el proceso en directo. En el instante en que la clave del destinatario legítimo ha sido ingresada, envía al malware la clave de destino controlada por los criminales. El troyano despliega entonces una pantalla de sobreposición con el mensaje "Aguarde…", borra la clave original del campo de texto, inserta la clave fraudulenta y simula el toque sobre el botón de confirmación. Cuando desaparece la pantalla de espera, el usuario ve el mensaje legítimo de "transferência concluída". El pago fue realizado —pero a la cuenta equivocada.