Scenariusz infekcji wygląda następująco: cyberprzestępca rozsyła e-maile z informacją na temat interesującego filmu (może to być erotyka, pojawiły się też wiadomości dotyczące śmierci znanych osób). Kliknięcie zawartego w listach odsyłacza skutkuje przekierowaniem na fałszywą stronę do złudzenia przypominającą serwis YouTube.
Nieświadomi podstępu użytkownicy dowiadują się tam, że odtworzenie filmu jest niemożliwe, ponieważ w ich systemie brakuje jakiegoś kodeka lub aktualizacji Adobe Flasha. Dlatego proponuje się im pobranie brakującego elementu, jednak zamiast potrzebnej aplikacji na komputer trafia złośliwe oprogramowanie.
:[IMG-84b2b]:Do tworzenia fałszywych stron cyberprzestępcy wykorzystują program YTFakeCreator. Pozwala on samodzielnie opracować komunikat o błędzie, który pojawi się na witrynie, określić, po jakim czasie ten komunikat będzie prezentowany, wprowadzić odsyłacz do zainfekowanego pliku, który zostanie pobrany na komputer ofiary, jak również stworzyć fałszywy profil YouTube. Tworząc taki profil, napastnik uwiarygodnia swoje działania w serwisie, przekonując internautów, że film, który wzbudził ich zainteresowanie, został udostępniony przez prawdziwego użytkownika.
Cyberprzestępca może też określić rodzaj złośliwego kodu, który będzie rozpowszechniany za pomocą fałszywych stron – do wyboru są wirusy, robaki, oprogramowanie adware, trojany itp. Więcej informacji na temat programu YTFakeCreator można znaleźć na blogu prowadzonym przez inżynierów laboratorium PandaLabs.
