Kun yksi Hamburger Abendblattin lukijoista alkoi epäillä jotain epämiellyttävää olevan tapahtumassa, niin hän kääntyi it-alan arvostetun kustantajan heise verlagin tietoturva-asiantuntijoiden puoleen.

Toimittajat löysivätkin saitilta skripti-tagin, joka kutsui pahamaineiselta ffshrie-nettipalvelimelta java-skriptin. Skriptin koodi kirjoitti sitten avatulle Abendblatt-saitille iframe-tagin, joka kutsui html-saitin peitetyllä koodilla.

Heisen analyysissä havaittiin, että saitille salakuljetettu ja peitetty haittaohjelma on käyttänyt hyväkseen Internet Explorer-selaimen vanhaa tietoturva-aukkoa.

Tarkemmissa testeissä havaittiin, että haittaohjelma on ladannut MF110.exe-tiedoston C:WindowsSystem32-järjestelmään ja kiinnittänyt rekisteriin autostart-tiedostona. Viirusskannerit ovat identifioineet sen rootkitinä ja salasanojen kaappaajana.

Saittinsa saastumisesta informoidulta lehdeltä meni lähes koko päivä siihen, että se siivosi saittiaan tunkeutujan jäljiltä. Heise Onlinen mukaan haittaohjelman koodi saatiin poistettua saitilta maanantai-iltana.