2016 年安全公司 Check Point 披露了被称为 Gooligan 的恶意程序劫持了超过一百万 Google 账号令牌。该恶意程序利用 Kingroot 工具 root 被感染的设备，窃取访问 Google Play、Gmail、Google Photos、Google Docs、G Suite 和 Google Drive 数据的认证令牌。
现在，Google 的安全研究员 Elie Bursztein 发表了多篇博文介绍了该恶意程序的内部工作原理及其幕后的攻击者。
研究人员在代码中发现了一个罕见的字符串 versea_adjust_read_redis，搜索该字符串找到了一篇讨论负载均衡配置的中文博文，结果发现该博文其实是完整的 Gooligan 后端服务配置文件。
研究人员认为攻击者位于中国大陆，伪装成市场营销公司，实际上背后运作了多种骗局。Gooligan 使用的数据中心一个是美国的亚马逊 AWS，还有一个在中国，当该恶意程序遭到 Google 的打击之后，Gooligan 的基础设施迁回到了中国。
