این حمله با یک پرونده به نام pagat.txt شروع می‌شود که شامل یک اسکریپت PHP مبهم است و در یک وب‌گاه آلوده شده بارگذاری می شود. با مبهم کردن این اسکریپت، مهاجمان امیدوار هستند که بخت خود را برای فرار از سامانه‌های کشف و شناسایی و گذر از دیواره‌های آتش نرم‌افزارهای وب افزایش دهند.
هنگامی که این اسکریپت رمزگشایی شده و بر روی یک کارگزار قربانی اجرا شد، یک رایانامه به مهاجم ارسال می‌شود، و به او اطلاع می‌دهد که هدف آلوده شده است.
آنگاه مهاجم می‌تواند به وب‌شِل از طریق مرورگر دسترسی یابد و شروع به اجرای دستورات شِل  روی کارگزار کند. علاوه بر این این وب‌شِل به این عاملان مخرب اجازه می‌دهد تا پرونده‌های خود را بارگذاری کنند و با استفاده از آن‌ها کارهای مختلفی را صورت دهند.
یک جستجو در گوگل نشان می‌دهد که پرونده pagat.txt هم اکنون بر روی صدها وب‌گاه در دسترس قرار دارد. اگر چه تنها ۹ محصول امنیتی از ۶۸ محول در VirusTotal (وب‌گاه معروف ویروس‌توتال که به منظور شناسایی بدافزارها از آن استفاده می‌شود) این اسکریپت را به عنوان یک پرونده‌ی آلوده شناسایی کرده‌اند.
بر اساس گفته‌های شرکت امنیتی آی‌بی‌ام، این نوع از وب‌شل C۹۹ با اطمینان از اینکه نصب وردپرس به وسیله هیچ نوعی از آسیب‌پذیری‌ها مورد حمله قرار نگرفته است، حمله‌ی خود را شروع می‌کند، و افزونه‌های امنیتی را نصب کرده و تغییرات پیش‌فرض را تغییر می‌دهد و تا آنجا که ممکن باشد روند نصب را سفارشی می‌کند و نام پوشه‌های بارگذاری را تغییر داده و همه پرونده‌هایی را که به وب‌گاه بارگذاری می‌شوند، بررسی می‌کند.
همچنین آی‌بی‌ام به گردانندگان وب‌گاه‌ها یادآوری می‌کند که اگر وب‌گاه آنها مورد نفوذ قرار گرفت، آن‌ها باید در نظر داشته باشند که هر چیزی که نیاز به اعتبارسنجی داشته باشد، از جمله اعتبارنامه‌های آن‌ها مورد خطر قرار گرفته است.
استفاده از وب‌شل‌ها بسیار شایع است. سیسکو در هفته گذشته گزارش داد که وب‌شل‌هایی را بر روی هزاران کارگزار کشف کرده که توسط دولت‌ها، مدارس و دیگر سازمان‌ها اداره می‌شوند.