У ході кампанії PhantomEnigma зловмисники зламали більше 20 урядових вебсайтів Бразилії у доменній зоні .gov.br, перетворивши їх на інструмент поширення вірусів. Зловмисники розсилали фішингові листи від імені поліції із посиланнями, які перенаправляли жертв через інфіковані державні сервери або їхні точні копії. Завдяки компрометації легітимних поштових скриньок, листи успішно проходили перевірки безпеки SPF, DKIM та DMARC, що викликало довіру у користувачів та систем захисту.

Після переходу за посиланням завантажувався модифікований додаток Electron із прихованим бекдором на базі JavaScript. Цей шкідливий код кожні три хвилини перевіряв наявність нових вказівок від сервера управління, збирав інформацію про пристрій і міг непомітно завантажувати сторонній софт, наприклад, банківські трояни чи програми віддаленого контролю. Цілями атак стали банківські установи та державні відомства країни.