Исследователи пишут, что большая часть кода, который отвечает за шпионские функции в приложении, была позаимствована из открытых источников (например, фрагменты кода, опубликованные в качестве примеров на различных форумах) и опенсорсных проектов. Судя по всему, создатели Welcome Chat не тратили на разработку много времени и сил. Похоже, они вообще взяли первый попавшийся код из результатов поиска. Причем некоторыми кускам кода насчитывается около 5-8 лет. Также из-за низкой квалификацией злоумышленников приложению и его инфраструктуре не хватает базовой защиты, к примеру, шифрования передаваемых данных. Подключение к сайту загрузки тоже никак не защищено. Хуже того, в БД приложения на сервере можно найти все, кроме паролей от учетных записей пользователей. Там доступны имена, адреса электронной почты, номера телефонов, токены устройств, изображения профилей, сообщения и списки друзей. «Передаваемые данные не зашифрованы, и поэтому они доступны не только злоумышленнику, но и любому желающему, находящемуся в той же сети», — пишет специалист ESET Лукас Стефанко (Lukas Stefanko).