Redditで共有されていたリンクでは、短縮URLのbit.lyが使用されていました。このbit.ly URLは2019年6月11日に作成され、図3に示した統計情報によると、この記事を執筆した時点では、さまざまなソースおよび国から59回クリックされていました。

ランサムウェアは、ユーザーの連絡先リストにアクセスして、テキストメッセージを送信できます。ファイルを暗号化する前に、前述の「拡散方法」セクションで説明した方法で、このユーザーの連絡先にメッセージを送信します。
次に、ランサムウェアはアクセス可能なストレージにあるファイル（システムファイルが存在する場所を除くすべてのデバイスのストレージ）をチェックして、ほぼすべてのファイルを暗号化します（下記の「ファイル暗号化の仕組み」セクションを参照）。攻撃者はファイルを暗号化すると、図7に示すように、身代金のメモを（英語で）表示します。

攻撃を受けたユーザーがアプリを削除すると、身代金のメモに記載されているように、ファイルを復号化できなくなります。しかし、暗号化の実装に問題があるため、実際にはファイルを復元できます（詳細は、次のセクションを参照）。また、ESETがランサムウェアのコードを分析したところ、72時間後に暗号化されたデータが失われるという攻撃者の主張を裏付ける根拠は見つかっていません。

図8に示すように、要求される身代金の一部は動的に変更されます。要求されるビットコインの金額の最初の部分はハードコードされており、その値は0.01になっています。

残りの6桁はマルウェアによって生成されるユーザーIDです。
このような独自の手法が採用されているのは、入金を特定する目的です（Androidランサムウェアは、通常、暗号化したデバイスごとに個別のBitcoinウォレットを生成して入金を特定します）。最近の1 Bitcoinのレートは約9,400ドルですので、現在要求されている身代金は94〜188ドルの範囲になります（一意のIDはランダムに生成されると仮定）。

通常のAndroidランサムウェアとは異なり、Android / Filecoder.Cは画面をロックして、デバイスを使用できないようにはしません。

図9に示すように、この記事の執筆時点では、前述のBitcoinアドレスでは取引は記録されていません（このアドレスは動的に変更できますが、これまで見てきたすべての攻撃で同じアドレスが使用されています）。

しかし、「.cache」、「tmp」、または「temp」という文字列を含むディレクトリにあるファイルは暗号化されません。
このランサムウェアは、ファイルの拡張子が「.zip」または「.rar」でファイルサイズが51,200 KB / 50 MBを超える場合や、拡張子が「.jpeg」、「.jpg」、および「.png」でファイルサイズが150 KB未満の場合にも暗号化しません。 ファイルタイプのリストには、Androidには関係がない項目が含まれており、.apk、.dex、.soなどの一般的なAndroidの拡張子は含まれていません。このリストは悪名高いWannaCryランサムウェアからコピーされた可能性があります。

ファイルが暗号化されると、図11に示すように、拡張子「.seven」が元のファイル名に追加されます。

しかし、秘密鍵の暗号化にはハードコードされた鍵の値が使用されているため、暗号化アルゴリズムを復号化アルゴリズムに変更することで身代金を支払うことなくファイルを復号化できます。復号化に必要なのは、ランサムウェアから提供されるUserID（図13参照）とランサムウェアのAPKファイルです。このファイルは、その作成者がハードコードされたキー値を変更した場合に必要となりますが、これまでは、Android / Filecoder.Cランサムウェアのすべての検体で同じ値が使用されています。