Theo phân tích từ Group-IB, mã độc ngân hàng Gigabud lừa nạn nhân cài đặt ngoài (sideloading) các tệp APK giả mạo ứng dụng cơ quan thuế, chính phủ hoặc hãng hàng không qua tin nhắn và trang web lừa đảo. Sau khi được cấp quyền Trợ năng (Accessibility) và quyền hiển thị đè màn hình, mã độc sẽ quét hệ thống và dùng giao diện giả mạo để chiếm đoạt thông tin đăng nhập ngân hàng cùng mã PIN của thiết bị.
Nguy hiểm hơn, Gigabud tự động cài đặt công cụ Vwork - phiên bản độc hại chỉnh sửa từ tiện ích mã nguồn mở Shelter - để âm thầm tạo một "hồ sơ công việc" (work profile) mới trên điện thoại. Kẻ tấn công sau đó nhân bản ứng dụng ngân hàng mục tiêu vào hồ sơ này, cho phép chúng điều khiển từ xa để thực hiện các giao dịch chuyển tiền bất hợp pháp và thậm chí che giấu thao tác đằng sau một màn hình đen.
