Er is een toename van het aantal infecties met malware via illegale software, zo stelt antivirusbedrijf Avast. De gekraakte software, zoals Adobe Photoshop, Microsoft Office en CCleaner, worden via bekende filesharing-websites gedeeld, waaronder WeTransfer en MediaFire. De links naar de malafide bestanden worden gedeeld via sociale netwerken en fora.

De aangeboden installatiebestanden bestaan niet alleen uit de gekraakte software, maar ook een malafide script dat allerlei aanpassingen aan het systeem doorvoert die impact op de veiligheid hebben. Zo wordt de Consent Admin uitgeschakeld, waardoor het mogelijk is om acties met verhoogde rechten uit te voeren, zonder toestemming of inloggegevens van een admingebruiker.

Dit is mogelijk doordat bij de eerste stap van de installatie al om adminrechten wordt gevraagd. Naast het uitschakelen van de Consent Admin schakelt het malafide script ook aanwezige antivirussoftware uit. In het geval van Avira wordt deze virusscanner compleet verwijderd. Hiervoor wordt gebruikgemaakt van de IObit Unlocker tool die een kernel-proxydrver gebruikt om "system-protected" bestanden te verwijderen.

Verder maakt het script aanpassingen aan Windows Defender om de uiteindelijke malware niet te detecteren. Het gaat hier om de HotRat-malware die persoonlijke informatie en inloggegevens steelt, alsmede aanvullende malware kan installeren. Volgens Avast blijft illegale software ondanks de risico's aantrekkelijk voor veel mensen en is het daardoor ook een effectieve manier om op grote schaal malware te verspreiden. Gebruikers krijgen dan ook het advies van de virusbestrijder om geen dubieuze software van onbekende bronnen te downloaden.