La backdoor, chiamata Tomiris, è simile, per certi aspetti, a Sunshuttle (ossia GoldMax), malware che DarkHalo (ossia Nobelium) ha usato in un attacco alla supply chain contro i clienti SolarWinds.
Per consegnare la backdoor, i criminali informatici usano il DNS hijacking per reindirizzare il traffico dai server di posta delle organizzazioni bersaglio ai propri siti dannosi (probabilmente ottenendo le credenziali per il pannello di controllo sul sito del registrar del nome di dominio).