Laut Rapid7 wurden beide Varianten zeitgleich im selben Netzwerk eingesetzt. Die ESXi-Variante ist speziell für VMware-Umgebungen gebaut und beherrscht das Verschlüsseln von Datastores, das optionale Beenden virtueller Maschinen sowie das Verändern der Management-Oberflächen. Konkret zählt sie alle virtuellen Maschinen der Infrastruktur auf, verschlüsselt die Datastore-Dateien und überschreibt anschließend die ESXi-Oberflächen mit Erpressernotizen, die die Opfer durch den Zahlungs- und Wiederherstellungsprozess leiten sollen.
Obwohl die ESXi-Variante mit einer Post-Quanten-Verschlüsselung auf Basis der Kyber1024-Schlüsselkapselung wirbt, hält dieser Anspruch laut Rapid7 nicht stand. Tatsächlich setzt der Linux-Verschlüsseler ChaCha8 für die Dateiverschlüsselung und RSA-4096 für das Einpacken der Schlüssel ein. Dateien unter 1 MB werden vollständig verschlüsselt und mit der Endung „.xhsyw" versehen, bei Dateien zwischen 1 und 4 MB wird nur das erste Megabyte verschlüsselt, größere Dateien werden je nach Konfiguration des Angreifers stückweise verschlüsselt.
Die in Rust geschriebene Windows-Variante hält dagegen, was die Erpressernotiz verspricht: Sie nutzt Kyber1024 und X25519 zum Schutz des Schlüsselmaterials. „Das bestätigt, dass Kyber nicht zur direkten Dateiverschlüsselung verwendet wird. Stattdessen schützt Kyber1024 das symmetrische Schlüsselmaterial, während AES-CTR die eigentliche Datenverschlüsselung übernimmt", erklärt Rapid7. Verschlüsselte Dateien erhalten die Endung „.#~~~".
Die Windows-Variante ist darauf ausgelegt, möglichst viele Wege zur Datenwiederherstellung zu beseitigen: Sie beendet Dienste, löscht Backups und Schattenkopien, deaktiviert die Startreparatur, stoppt SQL-, Exchange- und Backup-Dienste, leert die Ereignisprotokolle und den Windows-Papierkorb. Zusätzlich enthält sie eine vom Hersteller selbst als „experimentell" bezeichnete Funktion zum Herunterfahren von Hyper-V-Maschinen.
Eine Auffälligkeit hebt Rapid7 besonders hervor: Die Windows-Variante verwendet einen ungewöhnlichen Mutex, der offenbar auf einen Song der Musikplattform Boomplay verweist. Insgesamt wirkt die Windows-Variante technisch ausgereifter, während der ESXi-Version derzeit noch einige Funktionen fehlen.