储设备（部分系统文件夹等除外），加密特定扩展名的文件；程序在加密文件时使用AES算法，会为每一个文件随机生成一个128位AES密钥，密钥随后会被程序加载完后生成的RSA公钥加密，并在当前文件加密完后存储在该文件的头部。程序还会调用命令提示符删除设备上的卷影副本（Shadow copy）备份。早先有报道认为这一操作可能会引起UAC弹框而被用户注意到，但后续分析指出，病毒是通过内核漏洞注入系统进程来执行的，传染过程中并不会有UAC弹窗出现。加密过程结束后，病毒会把系统壁纸替换成英语告示，并显示一封提供28种