A támadók RMM eszközöket – mint például ITarian (korábban Comodo), PDQ Connect, SimpleHelp és Atera – használnak, hogy tartósan távoli hozzáférést szerezzenek a kompromittált rendszerekhez. A felhasznált rosszindulatú telepítőprogramokat legitim böngészőfrissítéseknek, meeting- vagy partimeghívóknak, esetleg kormányzati űrlapoknak álcázták, kihasználva a felhasználók általánosan gyakorolt IT-adminisztrációs szoftverek iránti bizalmát.