Advertenties op YouTube zijn door cybercriminelen gebruikt voor het infecteren van bezoekers met malware. De advertenties maakten misbruik van bekende lekken in Java, Internet Explorer en Adobe Flash Player die niet door gebruikers waren gepatcht. Zodra de advertenties in een video werden getoond werd onzichtbaar voor gebruikers de Sweet Orange-exploitkit geladen, die de eerder genoemde kwetsbaarheden probeert aan te vallen.

Om detectie te voorkomen wezen de advertenties niet direct naar de exploitkit. Het verkeer ging langs twee advertentiesites, wat suggereert dat de criminelen achter deze campagne het verkeer van legitieme advertentieaanbieders kochten, zo stelt Joseph Chen van anti-virusbedrijf Trend Micro. Om hun activiteiten legitiem te laten lijken gebruikten de aanvallers de aangepaste DNS-gegevens van een Poolse overheidssite. De aanvallers zouden deze site niet hebben gehackt, maar konden wel de DNS-gegevens aanpassen en zo verschillende subdomeinen toevoegen die naar hun eigen servers wezen.

De kwaadaardige advertenties waren bij verschillende populaire video's te zien, waaronder een video met 11 miljoen views. In het geval de aanval succes was werd een variant van de beruchte Kovter-ransomware geïnstalleerd. Deze ransomware vergrendelt de computer en stelt dat de gebruiker een misdrijf heeft begaan en vervolgens een boete moet betalen om weer toegang te krijgen.