Uruchomiony, z uprawnieniami administratora, trojan nazwany Linux.Encoder.1 pobiera pliki zawierające żądania cyberprzestępców i plik ze ścieżką do publicznego klucza RSA. W kolejnym kroku złośliwy program uruchamia się jako demon i usuwa oryginalne pliki. Następnie używany jest klucz RSA w celu zapisania kluczy AES, które będą użyte przez trojana do zaszyfrowania plików na zainfekowanym komputerze.
Najpierw Linux.Encoder.1 szyfruje wszystkie pliki w katalogach domowych i katalogach powiązanych z administracją strony www. Następnie trojan rekurencyjnie analizuje cały system plików zaczynając od katalogu, w którym został uruchomiony; a następnie rozpoczynając od katalogu głównego (root – “/”). Co więcej, trojan szyfruje tylko pliki o określonych rozszerzeniach i tylko, jeśli nazwa katalogu zaczyna się jednym z ciągów znaków wskazanych przez cyberprzestępców.
Zaatakowane pliki są uzupełniane przez malware o rozszerzenie.encrypted. W każdym katalogu zawierającym zaszyfrowane pliki, trojan osadza plik z żądaniem okupu. Aby móc odszyfrować swoje pliki, ofiara musi zapłacić okup w elektronicznej walucie Bitcoin.
Doctor Web zaleca użytkownikom, których pliki zostały zaszyfrowane, skontaktowanie się ze wsparciem technicznym, podając szczegółową informację o incydencie i wysyłając kilka przykładów zaszyfrowanych plików. Aby można było odszyfrować takie pliki bardzo ważne jest to, aby użytkownik nie modyfikował i/lub nie kasował ich — w przeciwnym razie zaszyfrowane dane mogą być bezpowrotnie utracone.