A estratégia é usar engenharia social para levar o usuário a habilitar a execução de macros na ferramenta do Office, que é bloqueada por padrão. E-mails de phishing levam os usuários a crerem que precisam habilitar a funcionalidade para ver o conteúdo “importante”. Ao ser executada, a macro inicia o Prompt de Comando (cmd.exe), que então irá iniciar duas instâncias do PowerShell (powershell.exe), que faz o download do script para que a outra instância o execute.
Na próxima fase, o script então se comporta como a maioria dos ransomwares, gera uma chave privada, criptografa os dados da máquina e envia essa chave para os criminosos, usando um servidor centro-de-comando localizado em algum lugar da rede Tor, apresentando então a conhecida mensagem solicitando o pagamento do “resgate” das informações.