Nadat de worm zichzelf heeft geïnstalleerd op de pc en genesteld heeft in het register, legt het contact met irc, waardoor een kwaadwillende de pc kan overnemen. Vervolgens probeert de worm zich via ftp verder te verspreiden.

Tevens wordt het host-bestand op de geïnfecteerde machine aangepast, waardoor veel websites niet meer op te vragen zijn. Zo worden alle websites van anti-virusfabrikanten doorverwezen naar 127.0.0.1: localhost. Ook de websites van Amazon, Microsoft, eBay en Paypal worden naar localhost verwezen.