ZNIU 应用通过第三方应用市场传播，藏身于色情应用和游戏应用中，一旦安装，它会联络 CC ，同时使用 DirtyCow 漏洞获取 root 权限和植入后门。由于 DirtyCow 漏洞只能工作在 ARM/X86 64 位架构设备上，ZNIU 会使用   KingoRoot 和 Iovyroot 去 root 32 位设备。

之后 ZNIU 会订阅中国移动运营商的增值服务，从屏幕截图上看受害者可能主要是中国电信的用户。研究人员发现 ZNIU 的漏洞利用管理服务器和域名都位于中国，他们建议用户不要从不信任的应用市场下载应用。