Groepen die sympathiseren met de protesten in Tibet worden volgens beveiligingsfirma F-secure bedolven onder met malware besmette e-mails. De berichten lijken in eerste instantie afkomstig van betrouwbare bronnen.
De e-mails richten zich op organisaties en personen die zich bezighouden met de mensenrechtensituatie in Tibet en zich publiekelijk uitspreken tegen het harde ingrijpen van de Chinese machthebbers. Een Tibetaanse mailinglist ontving een bericht met als afzender de 'Unrepresented Nations and Peoples Organization', waardoor de mail op het eerste gezicht oogde als een legitieme steunbetuiging. Het bijgesloten pdf-bestand bevatte echter een keylogger, die zichzelf via een exploit in Adobe Acrobat ongemerkt op de pc nestelde. Daarnaast gebruiken de aanvallers ook besmette Word-documenten, Windows Help-bestanden en Powerpoint-presentaties.
Volgens het Finse beveiligingsbedrijf F-secure gaan de verspreiders geraffineerd te werk. Zo was de malware zo aangepast dat virusscanners de kwaadaardige code in eerste instantie niet herkenden. Ook bevatten de bijgesloten documenten teksten die gekopieerd waren van gerenommeerde websites en waren de headers van de e-mails vervalst.
De bron van de gecoördineerde aanvalsgolf lijkt in China te liggen. De gebruikte keylogger verstuurt zijn heimelijk opgevangen informatie naar een server in China. Daarnaast waren eerdere, soortgelijke aanvallen - onder andere gericht op organisaties die zich bezighouden met de situatie in Darfur en op aanhangers van de Falun Gong-beweging - ook te herleiden naar Chinese ip-adressen. Toch is door de open structuur van internet niet met zekerheid vast te stellen of de aanvallers zich daadwerkelijk in China bevinden. Het is ook onduidelijk of de malware-verspreiders op eigen initiatief handelen, of dat zij van hogerhand worden aangestuurd.