Hallado por el Laboratorio de Investigación Cheetah Mobile Security, Golem puede controlar dispositivos de forma remota y de forma automática, así como iniciar y ejecutar aplicaciones sin el consentimiento del usuario. Cada vez que se activa Golem se descargan instrucciones a partir de un servidor para lanzar aplicaciones y simular que los usuarios hacen uso de ellas.

Cheetah Mobile explica cómo funciona el troyano en un análisis:

Es de conocimiento común para los desarrolladores de Android que todos los dispositivos Android han sido precargados con una herramienta de comandos del sistema conocido como input, diseñada para ayudar a los desarrolladores a realizar pruebas automatizadas, y se utiliza principalmente para enviar comandos para la simulación de operaciones a través de dispositivos. En general, las aplicaciones legítimas no tienen ningún privilegio para ejecutar esta herramienta, pero malware con privilegios de root son capaces de utilizarla.

 

Los troyanos Golem y sus derivados obtienen privilegios de root y dejan una puerta trasera para que Golem aproveche la herramienta. Con lo cual al descargar comandos del servidor, con el uso de la herramienta de comandos, Golem puede iniciar aplicaciones y simular que un usuario hace uso de ellas.

 

"En los informes anteriores con respecto a Ghost Push y la cadena de distribución de aplicaciones, constantemente es mencionado que esta familia de troyanos es capaz de instalar aplicaciones no deseadas y molestas en los dispositivos infectados," explicó Cheetah. "Sin embargo, ahora que el comportamiento malicioso se ha movido más allá de sólo la instalación de aplicaciones inútiles en sus dispositivos, ahora se encuentra actuando en nombre de los usuarios".