約800個のマルウェアパッケージがJavaScriptパッケージレジストリに公開され、Windows、macOS、Linuxオペレーティングシステムを標的にするクロスプラットフォームRATとインフォスティーラーを配布するために使用された。研究者Paul McCartyは、OpenSourceMalwareによってこのキャンペーンが発見されたと報告した。

パッケージは、従来のpreinstallまたはpostinstallライフサイクルフックを使用するのではなく、READMEファイルで開発者にrequire()関数を使用してロードするように指示している。この方法で、ダウンローダーであるWEL1DROPPERが実行され、ダウンローダーはオペレーティングシステムとアーキテクチャを検出して、3つのCloudflare Workersアドレスから適切なペイロードをダウンロードし、ダウンロードに失敗した場合はwel1[.]ruを介してDNS TXTレコードで2次的なステップを取得する。また、パッケージ内のlib/telemetry.jsファイルは、実際の機能を隠すために偽のテレメトリSDKのように見える。

このキャンペーンは、以前のBeobachtetu Moikaという名前の依存関係混乱攻撃の進化として評価されており、npmとPyPIリポジトリに対する他の攻撃キャンペーンにも似ている。