Các tin tặc đứng đằng sau TeaBot cố gắng lừa người dùng tải về ứng dụng độc hại bằng cách giả dạng các ứng dụng nổi tiếng, thường có hàng triệu lượt tải về. Các ứng dụng này thường là ứng dụng diệt virus, ứng dụng phát nội dung đa phương tiện nguồn mở VLC, ứng dụng phát sách nói… Chúng cũng thường có tên và logo tương tự như các ứng dụng nổi tiếng, nên người dùng rất khó phát hiện.

Các ứng dụng độc hại này không được phân phối qua chợ ứng dụng chính thống Google Play, mà được chứa trên các trang web phía thứ ba. Tuy nhiên, các thủ đoạn để chuyển hướng người dùng tới trang web phía thứ ba vẫn còn chưa được xác định rõ.

Một trong những thủ đoạn để chuyển hướng nạn nhân đến các ứng dụng độc hại là qua một ứng dụng chặn quảng cáo giả, hoạt động trung gian, mặc dù thủ đoạn lây nhiễm ứng dụng chặn quảng cáo ban đầu lên thiết bị của nạn nhân vẫn chưa được tìm ra.

Ứng dụng chặn quảng cáo giả không có chức năng thực sự nào, mà yêu cầu cấp quyền để hiển thị trên các ứng dụng khác, hiển thị thông báo và cài đặt các ứng dụng từ bên ngoài Google Play. Các ứng dụng này sẽ bị ẩn sau khi được cài đặt. Tuy nhiên, chúng sẽ liên tục hiển thị các quảng cáo lừa đảo, thông báo điện thoại người dùng đã bị một ứng dụng độc hại phá hư, rồi gợi ý người dùng nhấn vào một liên kết để xử lý, nhưng nó sẽ cài đặt ứng dụng TeaBot lên thiết bị của người dùng.

Phương pháp lây nhiễm này có vẻ phức tạp, nhưng việc tiến hành qua nhiều bước giúp nó khó bị phát hiện.

Để phòng tránh TeaBot, các nhà nghiên cứu của Bitdefender khuyên người dùng tuyệt đối không cài đặt ứng dụng bên ngoài Google Play, không nhấn vào liên kết trong các tin nhắn và luôn xem xét thật kỹ các yêu cầu xin cấp quyền của các ứng dụng Android.