Het aanvallen van organisaties gebeurt voornamelijk via RTF-bestanden, aldus het Japanse anti-virusbedrijf Trend Micro. Het gaat dan om spear phishing, waarbij aanvallers op maat gemaakte e-mails naar een select aantal individuen sturen. In 94% van de aanvallen bevat de e-mail een bijlage, in de overige zes procent een link. In bijna alle gevallen wordt er misbruik gemaakt van een beveiligingslek in de software die het slachtoffer gebruikt.

Hoewel er ook spear phishing-aanvallen voorkomen met aanvallen op lekken waarvoor nog geen beveiligingsupdate beschikbaar is, vinden de meeste aanvallen via bekende kwetsbaarheden plaats. Zo geeft Trend Micro vijf voorbeelden van exploits, waarvan er vier lekken uit 2009, 2010 en 2011 gebruiken.

Office
Het lijkt erop dat organisaties vooral nalaten om hun Microsoft Office te patchen. 38% van de spear phishingmails bevat namelijk een .RTF-bestand als bijlage. Het gebruik van Excel-bestanden komt in 15% van de aanvallen voor. Rich Text Format (RTF) is een bestandsformaat ontwikkeld door Microsoft in 1987 waarmee tekstverwerkingsbestanden uitgewisseld kunnen worden tussen verschillende programma's, programmaversies en besturingssystemen.

Zip en RAR volgen met respectievelijk 13% en 11%. Vaak bevatten deze archiefformaten ingepakte .EXE-bestanden. Het gebruik van PDF-bestanden zou in slechts acht procent van de aanvallen voorkomen.

Doelwit
"Gerichte e-mails zonder bijlagen worden vaker naar niet-zakelijke of non-gouvernementele organisaties (NGO) gestuurd, zoals activistische groepen en internationale organisaties, aangezien hun leden zich in verschillende landen bevinden", aldus de virusbestrijder.

Die stelt dat in dit geval een e-mail die slachtoffers een link laat openen en een bestand downloaden niet verdacht lijkt.