Der Trojaner überwacht dazu die Online-Aktivität des Nutzers. Meldet der sich bei seiner Online-Banking-Website an, blendet der Trojaner die Meldung ein, das Konto sei teilweise gesperrt, weil darauf irrtümlich eine Gutschrift verbucht worden sei. Sieht der Nutzer sich darauf den Saldo und die Umsatzübersicht an, weisen beide ebenfalls den überhöhten Betrag auf, da der Trojaner auch diese Informationen manipuliert hat. In Wahrheit ist aber auf dem Konto keine derartige Gutschrift eingegangen.
In der Meldung wird der Nutzer aufgefordert, den irrtümlich erhaltenen Betrag zurück zu überweisen, um die Sperrung seines Kontos zu verhindern. Dazu erscheint der gewöhnliche Überweisungsdialog der Banking-Website, vorausgefüllt mit Daten zu einem Girokonto, auf das die Urheber des Trojaners Zugriff haben. Wer der Aufforderung folgt, ist sein Geld vorerst los. Sicherheitssysteme wie TAN-Generatoren oder der Versand von TANs aufs Handy greifen hier nicht, da der Betrogene die Überweisung ja eigenhändig vornimmt.
Der Rat des Bundeskriminalamts im Wortlaut:
"Sollten Sie eine derartige Meldung auf Ihrem Computer erhalten, tätigen Sie keinesfalls die angeforderte Rücküberweisung und wenden Sie sich an die nächste Polizeidienststelle. Der benutzte Rechner ist zu diesem Zeitpunkt bereits mit der Schadsoftware infiziert."
