而在窃资软件的启动过程里，恶意酬载会运行一连串的检查，避免在沙箱或是虚拟机运作，然后从加密货币钱包、Chrome、Firefox等浏览器，以及AnyDesk、Discord、FileZilla、Signal、Skype、Steam、Telegram等网络应用程序收集用户信息，再者，该窃资软件也会从特定文件夹收集敏感数据，并使用JSON字符串外流数据。

特别的是，攻击者也能通过远程服务器指定收集的数据标的，使得窃取数据的范围变得更加弹性。