在针对缅甸目标的活动中，HoneyMyte 先使用 PlugX（PlugX 后门）作为入侵后的初始植入体，再投放 CoolClient。攻击者先为伪造的 Windows Defender 目录和重命名后的 defender.exe 添加 Microsoft Defender 文件夹排除项与文件排除项。