Eichman jako pierwszy odkrył sposób na zablokowanie robaka i otrzymał za to zaproszenie do Białego Domu.
Działanie Działanie robaka obejmowało: zamianę treści wszystkich stron pobieranych z danego serwera WWW wyświetlając tekst: HELLO! Welcome to <nowiki>http://www.worm.com</nowiki>! Hacked By Chinese! inne czynności, zależne od dnia miesiąca: dni 1–19: próbował się kopiować na inne komputery z oprogramowaniem IIS, wyszukując serwery w Internecie dni 20–27: uruchamiał atak typu Denial of Service (DoS) na kilka wybranych adresów IP (w tym m.in. na komputery Białego Domu) dni 28–ostatni: brak aktywności.
W trakcie skanowania w poszukiwaniu zagrożonych komputerów robak nie sprawdzał, czy serwer zdalny używał niezałatanej wersji IIS i czy w ogóle posiadał to oprogramowanie. Dzienniki dostępu serwerów opartych na Apache często zawierały następujący wpis:
GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNN %u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801 %u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3 %u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0