Microsoft раскрыла 3 ноября кампанию, в которой под видом взломанных программ, бесплатных игр и плагинов распространялись установщики с дополнительными нагрузками. По данным исследователей, они без осознанного согласия пользователей подключали компьютеры к прокси-сети, сторонним вычислениям или устанавливали рекламное ПО.

В одном запуске могли срабатывать несколько веток. Система доставки отдельно учитывала результат каждой установки: отказ или блокировка первого компонента не означали, что весь комплект остановился. Это позволяло продолжать другие попытки на том же компьютере.

WorldProxyPool использовал соединение для передачи чужого интернет-трафика. В исследованной цепочке его агент запускался с системными правами, а отдельная задача каждые пять минут выполняла контролирующий скрипт. Другая ветка устанавливала CharityEngine и BOINC для распределённых вычислений; третья — утилиты Advanced Windows Manager и Windows Manager.

Эти программы и платформы могут использоваться законно. Проблема обнаруженной кампании — скрытая установка через обманные загрузки, превращающая чужие сетевые и вычислительные ресурсы в источник дохода. Microsoft не раскрыла общее число затронутых устройств; не каждый исследованный установщик доставлял все три вида нагрузки.