Вирус заражает исполняемые файлы Windows, записывая код полиморфного расшифровщика в неиспользуемые пространства кодовых секций. При этом вирус создает новую секцию и размещает в ней свой основной зашифрованный код, сдвигая секцию ресурсов - при ее наличии - "вниз". При внедрении в файл он не изменяет оригинальную точку входа, а подменяет адреса вызовов API, выбранных случайным образом, стартовым адресом вируса.

При запуске вирус внедряет свой код во все запущенные процессы за некоторыми исключениями. Таким образом, в памяти оказываются несколько копий вируса, каждая из которых отвечает за определённую деятельность: поиск подходящих файлов для заражения, непосредственное заражение файлов, функции работы с пиринговыми сетями на протоколе Gnutella и другие.