Een Trojaans paard dat bij gerichte aanvallen tegen onder andere Amerikaanse organisaties is ingezet, heeft het vooral op Skype-gebruikers binnen deze organisaties voorzien. Dat meldt beveiligingsbedrijf Palo Alto Networks. De T9000 Trojan, zoals de malware wordt genoemd, verspreidt zich via kwaadaardige rtf-documenten. De documenten maken gebruik van bekende kwetsbaarheden in Microsoft Office die in 2012 en 2015 door Microsoft werden gepatcht.

In het geval gebruikers of beheerders de updates niet hebben uitgerold, kan het Trojaanse paard bij het openen van het document op de computer worden geïnstalleerd. Hiervoor wordt eerst gekeken welke anti-virussoftware op de computer draait. Aan de hand hiervan wordt de installatie van de malware aangepast, zodat de virusscanner geen alarm slaat. Eenmaal actief verzamelt de malware allerlei informatie over het systeem en bewaart die in een map genaamd "Intel". In het geval een usb-stick wordt aangesloten, zoekt het hierop naar Excel-, Word- en PowerPoint-bestanden.

Het Trojaanse paard heeft echter een speciaal onderdeel gericht op Skype-gebruikers. Hiervoor probeert het de programmeerinterface van Skype te kapen. Iets waarvoor slachtoffers toestemming moeten geven. De melding waarin de gebruiker om toestemming wordt gevraagd laat echter zien dat explorer.exe toegang tot Skype wil krijgen. Volgens Palo Alto Networks gaat het hier om een legitiem proces en kunnen gebruikers daardoor toestemming geven zonder dat ze precies beseffen wat er gebeurt. Zodra de toestemming is verleend zal de T9000 video- en telefoongesprekken opnemen, alsmede chatberichten opslaan. Ook maakt de malware periodiek screenshots van videogesprekken. Alle verzamelde informatie wordt vervolgens naar de aanvallers teruggestuurd.