Zasada działania szkodnika polega na konwersji MP3 do postaci pliku Windows Media Audio (bez zmiany rozszerzenia), a następnie „wstrzyknięciu” do niego odpowiedniej informacji w postaci dodatkowych znaczników. Zainfekowany plik „MP3”, po uruchomieniu w odtwarzaczu zgłasza konieczność pobrania dodatkowego „kodeku”, a następnie przekierowuje do odpowiedniej strony, z której pobierane są szkodliwe dane. Oczywiście zamiast „kodeka” ściągany jest trojan – Trojan-Proxy.Win32.Agent.arp.
W opinii producentów oprogramowania antywirusowego jest to pierwszy tego typu przypadek gdy wirus/trojan przenosi się wraz z plikami audio. Zagrożenie jest o tyle poważne, że przeważająca część użytkowników nie identyfikuje plików audio z możliwością przenoszenia przy ich pomocy szkodliwego kodu. Biorąc pod uwagę potężny ruch w sieciach p2p szanse na przenoszenie się trojana są bardzo duże.
