D'après  Bitdefender, un script malveillant chargé par l’adresse hxxp://portal.opera.com redirigeait les utilisateurs vers une page malveillante hébergeant le célèbre exploit BlackHole. D'après BitDefender, le script aurait été chargé via une publicité publiée par un tiers, une pratique appelée « malvertising ».

Ce code dissimulé dans la page d’accueil du portail d’Opera insère une iFrame qui charge du contenu malveillant à partir d’une source externe. Si l’utilisateur d’Opera n’a pas changé sa page d’accueil par défaut, il chargera involontairement du contenu actif malveillant à partir d’un site Web tiers  lorsqu’il ouvre son navigateur.

Cette page malveillante héberge le kit d’exploits BlackHole (qui infecte l’utilisateur malchanceux avec une variante de ZBot récemment compilée. Le malware ZBot se trouve sur un serveur en Russie, qui a probablement été victime lui aussi d’une attaque, permettant un accès non autorisé via FTP, toujours d'après BitDefender.