Уязвимость — переполнение буфера — проявляется при обращении к полю, содержащему это изображение. Сама же атака осуществляется с помощью техники heap spraying, которая активно используется во многих эксплойтах к продуктам, которые могут обрабатывать JavaScript-код. К примеру, последняя громкая атака Aurora, была проведена с применением именно этой техники. При удачном использовании вышеописанной уязвимости, адрес возврата перезаписывается заранее известным адресом 0xC0C0C0C0, по которому находится контролируемый злоумышленниками код.

После этого осуществляется переход на этот адрес, по которому располагается шеллкод. Он расшифровывает сначала свое тело, а затем исполняемый файл, который также находится внутри исходного PDF-файла.

Расшифрованный исполняемый файл записывается в корень диска C:\ и запускается. Среди его функционала — загрузка данных о компьютере пользователя на удаленный сервер, а также загрузка на зараженный компьютер других вредоносных файлов. Обновления для уязвимых продуктов было оперативно выпущено работниками Adobe. Однако злоумышленники будут использовать эту уязвимость (как, впрочем, и давно известные), пока все пользователи не будут защищены, поэтому во избежание подобного и других заражений рекомендуется установить последние обновления для Acrobat /Reader.