Die Texte und Betreffzeilen variieren und beziehen sich von Fall zu Fall auf Liefer-, Miet- oder Kreditverträge. Im Text heißt es, der Vertrag sei im Sinne des Empfängers geändert worden, und falls der neue Entwurf Zustimmung finde, könne die Geschäftsbeziehung sofort beginnen.
Ungewöhnlich ist, dass die Anlage nicht im gebräuchlicheren ZIP-, sondern im RAR-Format komprimiert wurde. Mit Windows-Bordmitteln lässt sich die Anlage also nicht öffnen. Gängige Packer-Tools, zum Beispiel WinRAR, können den Anhang jedoch mühelos extrahieren.
Im RAR-Archiv findet sich eine Datei namens VERTRAG.EXE, die den eigentlichen Trojaner enthält. Ihr Icon ähnelt allerdings dem eines Word-Dokuments. Inzwischen entdecken die meisten Virenschutzsysteme den Trojaner - vor all zu großer Neugier sei dennoch ausdrücklich gewarnt.
