而在竊資軟體的啟動過程裡，惡意酬載會執行一連串的檢查，避免在沙箱或是虛擬機器運作，然後從加密貨幣錢包、Chrome、Firefox等瀏覽器，以及AnyDesk、Discord、FileZilla、Signal、Skype、Steam、Telegram等網路應用程式收集用戶資訊，再者，該竊資軟體也會從特定資料夾收集敏感資料，並使用JSON字串外流資料。

特別的是，攻擊者也能透過遠端伺服器指定收集的資料標的，使得竊取資料的範圍變得更加彈性。