La familia Casbaneiro se aprovecha de la ingeniería social para engañar a las víctimas mediante ventanas y formularios emergentes fraudulentos. El vector inicial de ataque es el correo electrónico, el mismo método que utilizaba Amavaldo. Con estos ataques, los ciberdelincuentes invitan a la víctima a realizar ciertas acciones de forma urgente, como instalar una actualización de software o verificar una tarjeta o datos bancarios.	Una vez que se ha instalado en el dispositivo de la víctima, Casbaneiro utiliza comandos de backdoor (troyano que permite el acceso al sistema infectado y su control remoto permitiendo al atacante enviar, eliminar o modificar archivos, ejecutar programas, instalar herramientas maliciosas y extraer información de la víctima para enviársela a sí mismo, con el propósito de espiar y robar datos) para realizar capturas de pantalla, restringir el acceso a webs oficiales de entidades bancarias y registrar las pulsaciones en el teclado.	La familia de malware Casbaneiro se caracteriza por el uso de múltiples algoritmos criptográficos utilizados para ocultar cadenas de código en archivos ejecutables y para descifrar la carga maliciosa y datos de configuración. Uno de los aspectos distintivos de Casbaneiro es su esfuerzo por esconder el dominio del servidor C&C (Centro de Comando & Control – Servidor administrado por un botmaster que permite controlar y administrar los equipos zombis infectados por un bot) y el puerto utilizado para conectarse.	ESET identificó que Casbaneiro comenzó a abusar de YouTube para almacenar sus dominios de servidor C&C, registrando dos cuentas diferentes utilizadas para este fin por parte de los operadores de la amenaza: una centrada en recetas de cocina y la otra en fútbol. Cada video en estos canales contiene una descripción donde al final hay un enlace a una URL falsa de Facebook o Instagram. El dominio del servidor C&C se almacena en este enlace.