安全专家研究发现，该钓鱼木马采用层层诱导的方式取代机主，获得支付宝转账的能力。首先，伪造正常的支付宝登录界面，诱骗用户输入支付宝账号和密码，并将账号密码发送到一个固定的手机号上。
接下来木马会巩固自己的“地位”，防止用户卸载。通过弹出“异常登录提醒”，以淘宝账号异常登录等形式恐吓用户，欺骗用户点击“立即解冻”；用户一旦点击，将弹出“设备管理器”的激活界面，激活后，木马将不能被正常卸载。同时，木马会将设备管理器被激活的消息再次偷偷发送给黑客，告知中招用户已“上钩”。
此后，该木马会继续以“保障用户合法权益”为名继续行骗，诈取内容包括用户姓名、身份证号、银行卡号等与网络支付相关的关键信息。最后一步自然是获取支付密码，而这一切敏感信息都将通过短信的方式偷偷发送到黑客的手机中。待完成一切步骤后，木马会发送提示称会在1日-2日后解冻账号，此举的目的在于暂时稳住用户，给黑客窃取钱财的时间。