Theo báo cáo của Kaspersky, mã độc Keenadu không lây lan vào máy tính bảng Android theo cách thông thường qua ứng dụng tải về hoặc tệp đính kèm độc hại. Thay vào đó, mã độc được nhúng sẵn trong phần mềm hệ thống của một số sản phẩm, đồng nghĩa người dùng có thể mua phải thiết bị đã bị cài cửa hậu từ giai đoạn sản xuất mà không hề hay biết.
Khi hoạt động, Keenadu chèn vào tiến trình Zygote - thành phần cốt lõi chịu trách nhiệm khởi chạy mọi ứng dụng trên Android. Việc can thiệp ở cấp độ hệ thống cho phép mã độc mở rộng quyền kiểm soát, theo dõi hoạt động trên thiết bị và tải thêm các mô-đun phục vụ mục đích trục lợi. Các chức năng được ghi nhận gồm chuyển hướng tìm kiếm trên trình duyệt, giám sát quá trình cài đặt ứng dụng và tương tác với các thành phần quảng cáo.
