Jak pisze Arcabit trojan posługuje się jako nośnikiem innym szkodliwym kodem, który umieszcza go w folderze ze wtyczkami dla Firefoksa. Przy każdym uruchamianiu przeglądarki uruchamiany jest też trojan. Korzystając z listy adresów do licznych online'owych banków i serwisów płatniczych, próbuje ukraść dane użytkownika wprowadzane podczas łączenia się z tymi adresami.

Wszystkie dane, które przechwyci szkodliwe oprogramowanie trafiają do Rosji.