При запуске зловред «прячет» свою иконку и работает в фоновом режиме, чтобы его не обнаружили, после чего активно использует права суперпользователя (root-права) — таким образом у него появляется полный контроль над устройством и возможность скрывать свою активность.
