Червь распространяется по адресам в списке контактов AIM, рассылая себя в виде файла image#.com, замаскированного под изображение формата JPEG. Сопроводительный текст гласит «эй, ничего, если я загружу эту твою фотографию в свой блог?». Редкий пользователь устоит от соблазна посмотреть на свою фотографию, которая может появитьcя в интернете.

После запуска, червь создает в системной папке Windows (system32) исполняемый файл csts.exe, который регистрируется как системная служба "Print Spooler Service", а затем подключается к заданному IRC каналу для получения команд от хозяина, а также содержит процедуры рассылки почты через 25 TCP порт.

Также червь устанавливает руткит под именем wowexec.exe, который не использует системную память в менеджере процессов.

Специалисты советуют пользователям не открывать файлы, присланные знакомыми, без предварительной связи с отправителем.