Theo Bluebox, lỗ hổng này đã tồn tại từ rất lâu, trên phiên bản Android 1.6 (còn có tên là Donut), nó cho phép các nhà phát triển ứng dụng độc hại có thể thay đổi mã nguồn của tập tin *.apk (tập tin cài đặt ứng dụng lên Android) một cách hợp pháp, tức không vi phạm chữ ký điện tử trong tập tin *.apk. Tất nhiên, để kiểm soát thiết bị của nạn nhân, hacker phải đánh lừa người dùng cài đặt một bản cập nhật độc hại của ứng dụng nào đó.
Nghiên cứu cũng cho thấy, hiện tại chỉ có Samsung Galaxy S4 là thiết bị duy nhất “miễn dịch” với lỗ hổng này, điều này chứng tỏ Samsung đã sớm vá thành công. Còn Google vẫn đang làm việc với một bản cập nhật dành cho Nexus và sẽ sớm cung cấp đến người dùng.
Hiện tại, hãng Google vẫn chưa có ý kiến gì về lỗ hổng bảo mật này. Tuy nhiên, để đảm bảo an toàn cho thiết bị Android của mình, người dùng chỉ cài đặt và cập nhật các ứng dụng trực tiếp từ kho ứng dụng Play Store.