A diferença do Sasser é que ele se propaga ao verificar endereços IP de sistemas vulneráveis e não por anexos em mensagens de e-mail, como age a maioria das pragas virtuais. Quando ele se instala, cria uma cópia de si mesmo como avserve2.exe no diretório de instalação do Windows, depois tenta criar um arquivo nomeado Jobaka3, se a tentativa falhar é finalizado.

Nos Windows XP contaminados, isso gera um erro e faz surgir na tela uma janela com o aviso de que o sistema será desligado em um minuto. Segundo a Sophos, o Sasser atinge muitos usuários que reinstalam o Windows em suas máquinas sem atualizar devidamente o sistema.