Tibetanen en mensen die de Tibetaanse overheid in ballingschap ondersteunen zijn het doelwit van een kwaadaardig PowerPoint-bestand geworden dat een remote access tool (RAT) probeert te installeren. De aanval begon met een e-mail die via de mailinglist van de Central Tibetan Administration (CTA) werd verstuurd. Een organisatie die de Tibetaanse overheid in ballingschap vertegenwoordigt. Via de mailinglist wordt nieuws over Tibet verspreid.

De e-mail heeft als bijlage het bestand "Tibet-was-never-a-part-of-China.ppsx" en claimt een presentatie te bevatten om de 60ste verjaardag van de Dalai Lama te vieren. Het PowerPoint-bestand is eigenlijk een kopie van een legitiem pdf-document van de CTA, dat vorig jaar november verscheen. Het PowerPoint-bestand bevat een exploit die misbruik maakt van een oude kwetsbaarheid. in Microsoft Office. Het beveiligingslek werd op 11 april 2017 door Microsoft gepatcht.

In het geval gebruikers deze update niet hebben geïnstalleerd en het PowerPoint-bestand openen wordt er een RAT geïnstalleerd. Via de remote access tool krijgen aanvallers volledige controle over het systeem. Volgens Cisco heeft iedereen op de mailinglist van de Central Tibetan Administration de e-mail ontvangen. De mailinglist wordt beheerd door een Indiaas bedrijf. De aanvallers wijzigden de "Reply-To" header die CTA-mailings normaal gebruiken, zodat alle reacties naar een e-mailadres van de aanvallers gaan.

Verder stellen onderzoekers van Cisco dat gezien de aard van de malware en de beoogde doelwitten, het de aanvallers waarschijnlijk om spionage is te doen in plaats van financieel gewin.