在计算机所属局域网内，随机zh-hans:连接;zh-hant:连结其他电脑SMB使用的TCP/UDP 445与139等埠以自我传播，并尝试用同样方式随机感染互联网上的其他计算机。据思科分析，病毒在感染其他计算机时会尝试透过后门安装。而根据《连线》的报道，此病毒也会同时在计算机上安装该后门，现已有脚本可检测并移除。攻击者在程序中硬编码了至少3个比特币地址（或称“钱包”），以接收受害者的赎金，这些钱包的真实拥有者身份不明，但交易情况和余额是公开的。有人在Twitter上设置了一个，以实时追踪这