同ウイルスを解析したセキュリティ専門家によると、同ウイルスはLinuxのELF(Executable and Linking Format)ファイルに感染し、最初は/binディレクトリに現れる。しかし、ここで危険なのは、ELFは感染してもその事実を隠蔽して十分に機能しつづけるということだ。同ウイルスのプログラムの特性は、電子メールを介した自己増殖型と似ており、UDPポート5503かそれより高いポート番号を探し、感染したホストにバックドアをインストールする。攻撃者はTCPを介してこのポート番号に接続し、攻撃対象となるマシーンのユーザ実行権限であるシェルアクセス権を奪取する恐れがある。結果、メモリ常駐の感染活動は識別されないのだ。