GreyNoise tuvastas kampaania, mis on tabanud vähemalt 143 seadet 34 riigis. Ründaja paigaldas seadmetele omanike nõusolekuta Pawns.appi, mis on seaduslik ribalaiuse jagamise rakendus. Kasutajad saavad tasu, kui teiste liiklus liigub nende võrgu kaudu usaldusväärsetelt IP-aadressidelt. Mitmele süsteemile paigaldades kogus ründaja tõenäoliselt suuremaid väljamakseid.
Kasutati teadaolevaid turvanõrkusi D-Link ShareCenter NAS-seadmetes (CVE-2024-3272 ja CVE-2024-3273), Ubiquiti UniFi Video NVR-is (CVE-2021-44228) ja SAP NetWeaver Visual Composeris (CVE-2025-31324). Sihtmärgiks olid ka Hikvisioni ja Dahua DVR/NVR-seadmed, kuigi konkreetseid turvanõrkusi ei nimetatud. Mõnel juhul seadistati SSH-võtmetega autentimine, et säilitada varupääs.
Kampaania avastati kahtlase tegevuse uurimisel nimetamata organisatsioonis. Ründaja raha teenis ohvrite internetiühenduste kaudu kommertsliku eluruumi puhverserverivõrgu kaudu.