Pour s’infiltrer dans les téléphones de leurs cibles, les hackeurs ont créé au moins onze clones vérolés d’applications de discussion, comme Telegram, WhatsApp ou Signal, en y insérant un logiciel de surveillance surnommé Pallas. Ces applications ressemblent en tout point aux originales, remplissent la même fonction, mais envoient les contacts, messages et autres données à un serveur contrôlé par les hackers.

Ces applications n’étaient pas proposées dans les boutiques officielles, mais dans d’autres sites habillés d’une manière à avoir l’air légitimes. Afin d’infecter leurs cibles, les espions ont essentiellement recouru à des techniques dites d’« hameçonnage » pour attirer leurs victimes vers ces fausses boutiques d’applications ou leur faire ouvrir, par exemple, des documents Word piégés. Outre ces techniques exécutées à distance, les chercheurs notent que les espions à l’origine de Dark Caracal ont parfois accédé physiquement aux appareils de certaines de leurs cibles.

Les données dérobées sur les téléphones incluent des enregistrements audio de conversations téléphoniques, des SMS, les journaux d’appels, les contenus de logiciels de messageries, les contacts ainsi que des photographies. A partir des ordinateurs, les pirates ont subtilisé des historiques de conversations sur le logiciel Skype, des dossiers photos dans leur intégralité, des listes de tous les fichiers présents sur la machine, et pouvaient même réaliser des captures d’écran à intervalles réguliers.