[الامين العاملي]

عند زرع ملف الخادم في جهاز الضحية فأنه يقوم مباشرة بالاتجاه الي ملف التسجيل لنظام ويندوز أو ما يسمى بـ Registry ثم يقوم بأمرين رئيسيين في كل مرة يتم فيها تشغيل الجهاز :
(1) إرسال اشارة للمخترق تفيد أن الضحية متصل الآن وإرسال عنوان الـ IPالخاص بالضحية وفتح بوابة او منفذ ليتم من خلالها الاتصال بجهاز الضحية وتنفيذ جميع الاوامر التي تم ضبطها مسبقاً من قِبل المخترق مثل تعطيل برنامج الحماية وحذف جميع نقاط استعادة النظام وتعطيل الدخول لمحرر التسجيل الخاص بويندوز وتعطيل الدخول لقائمة إدارة المهام لويندوز وإخفاء ملف الخادم لتجنب حذفه .
(2)تحديث نفسه وجمع المعلومات المحدثة بجهاز الضحية استعدادا لأرسالها للمخترق والمعلومات هي كلمات المرور التي كتبت أو تم تخزينها في جهاز الضحية. جميع المواقع المزارة والتي تم حفظها في المفضلة . جميع الكلمات التي تم كتابتها سواءً في رسالة بريدية أو في مستند نصي أو في مواقع الدردشة . جميع اسماء الملفات التي تم حفظها أو التعديل عليها وأماكن تخزينها في جهاز الضحية سواءً كانت ملفات صوتية أو ملفات فيديو أو ملفات نصية أو صور