O worm utiliza o serviço de redirecionamento de endereços Web do Google (goo.gl) para encaminhar os internautas para um site onde surge um falso aviso de segurança, indicando que o sistema está a executar aplicações suspeitas. Depois o utilizador é convidado a fazer uma pesquisa por antivírus, o que resulta numa infeção do sistema.

De acordo com a ZDnet, que cita Nicolas Brulez da Kaspersky, o worm em causa utiliza um sistema de vários re-encaminhamentos, passando por servidores registados na Ucrânia, até ao destino final, um endereço IP conhecido por utilizar a técnica e levar os utilizadores a executar falsos antivírus.