Trojanski konj deluje tako, da po zagonu pregleda vse mape na računalniku in vse dokumente, slike in bližnjice (.lnk) kriptira ter jim na konec imena doda podaljšek ''.EnCiPhErEd''. V vsaki mapi kreira tudi datoteko ''HOW TO DECRYPT.TXT'' z navodilom.

V navodilu avtor zahteva, da mu uporabnik za odklep datotek na njegov Ukash ali Paysafecard račun nakaže 50 EUR. Za odklep ima uporabnik pet poizkusov vnosa kode, zatem se program izbriše in pusti na računalniku kriptirane datoteke.

Program tudi priredi nastavitve računalnika, tako da se ob odpiranju katerekoli kriptirane datoteke s podaljškom .EnCiPhErEd odpre izsiljevalno sporočilo.

Protivirusne rešitve podjetja F-Secure trojanskega konja prepoznajo pod imenom Trojan:W32/Ransomcrypt.