Hãng bảo mật CheckPoint cho biết HummingWhale có kỹ thuật lây nhiễm rất tinh vi, cho phép nó giấu thân phận cực kỳ khéo léo. Chỉ tính riêng năm ngoái, hơn 10 triệu người dùng Android đã nhiễm mã độc này. 

Check Point ước tính tác giả của HummingWhale kiếm được khoảng 300.000 USD mỗi tháng nhờ quảng cáo giả mạo. Mã độc này không được thiết kế đánh cắp thông tin nhạy cảm của người dùng, mà thay vào đó nó chèn quảng cáo vào máy để kiếm lời. 

HummingWhale có cơ chế vận hành tinh vi hơn rất nhiều các tiền nhiệm trước đó. Nó có thể cài đặt ứng dụng trên thiết bị mà không cần được cấp phép. 

Mã độc có thể cài một lượng không giới hạn ứng dụng giả mạo nhưng lại không ảnh hưởng tới hiệu năng thiết bị. Chính vì đặc điểm này mà chủ nhân của máy rất khó phát hiện các dấu hiệu bất thường. 

Google đã được báo về các ứng dụng nhiễm mã độc và đã tiến hành gỡ bỏ chúng khỏi kho ứng dụng Google Play.