我们认为，为了安装 Chrysaor，攻击者通过哄骗手段诱使其具体针对的个人将恶意软件下载到设备上。一旦安装了 Chrysaor，一名远程操作员就能通过充分利用麦克风、摄像头、数据收集以及对电话和短信等通信应用上的应用活动进行记录和追踪，对受害者在设备上以及设备附近的活动实施监视。
我们分析过的一个示例 Chrysaor 应用具有代表性，该应用是专门针对运行 Jellybean (4.3) 或更低版本的设备量身定制的。以下是对一款名为 com.network.android 的 Chrysaor 应用范围和影响的回顾，该应用专为 Samsung 目标设备量身定制，其 SHA256 摘要如下：
ade8bef0ac29fa363fc9afd958af0074478aef650adeb0318517b48bd996d5d5
安装后，该应用会利用已知的 framaroot 漏洞提升权限并破坏 Android 的应用沙盒。如果目标设备不容易受到这些漏洞攻击，则该应用会尝试使用预先放置在 /system/csk 的超级用户二进制文件来提升权限。
提升权限后，该应用会立即通过以下手段进行自我保护并开始收集数据：
-
将自身安装在 /system 分区，以便在恢复出厂设置后得到保留
-
卸载 Samsung 的系统更新应用 (com.sec.android.fotaclient) 并停用自动更新，以便保留自身（将 Settings.System.SOFTWARE_UPDATE_AUTO_UPDATE 设置为 0）
-
删除 WAP 推送消息并更改 WAP 消息设置，这可能是出于反取证目的。
-
启动内容观察器和主任务循环，以便接收远程命令和漏出数据
该应用采用六种方法来收集用户数据：
-
重复命令：
利用闹铃定期在设备上重复执行操作来暴露数据，包括收集位置数据。
-
数据收集器：
将设备上的全部现有内容转储到队列中。数据收集器与重复命令联用，通过将应用的 /data/data 目录设置为全局可读来收集用户数据，其中包括短信设置、短信、通话记录、浏览器历史记录、日历、联系人、电子邮件以及来自选定消息传递应用（包括 WhatsApp、Twitter、Facebook、Kakoa、Viber 和 Skype）的消息。
-
内容观察器：
利用 Android 的 ContentObserver 框架来收集短信、日历、联系人、移动电话信息、电子邮件、WhatsApp、Facebook、Twitter、Kakao、Viber 和 Skype 的变化。
-
屏幕截图：
通过原始帧缓冲区采集当前屏幕的图像。
-
按键记录：
通过从 /system/lib/libbinder.so 挂接 IPCThreadState::Transact和使用接口 com.android.internal.view.IInputContext 拦截 android::parcel 来记录输入事件。
-
RoomTap：
以静音方式接听电话并在后台保持连线，从而让来电者能够听到电话麦克风受话范围内的谈话。如果用户解锁设备，则会在应用挂断电话、重置通话设置并为用户与设备正常交互做准备时看到黑屏现象。
最后，该应用可通过三种方式自我卸载：
