A Rosserag a fertőzött számítógépek alapos feltérképezése után rengeteg fájl gyors megfertőzésére képes, amelyek révén aztán további célpontokat kezd el keresgélni.
A Rosserag vírus nem végez különösebb módosításokat a fertőzött számítógépek regisztrációs adatbázisában. Ehelyett inkább arra törekszik, hogy minél több fájlhoz fűzze hozzá a saját kódját. A vírus az összes elérhető és írható meghajtón feltérképezi a fájlokat, és azok közül kiválogatja a számára megfelelőket. Ennek megfelelően nem kíméli többek között az exe, a htm, az asp és a php kiterjesztésű állományokat sem.
A Rosserag az Internetről is letölt egy fájlt, amelyet a C meghajtó gyökér könyvtárába másol be.
Amikor a Rosserag vírus elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehozza a következő fájlt:
%CurrentFolder%\[space]%eredeti fájlnév%
2. Az előzőekben létrehozott fájlt rejtett attribútummal látja el.
3. Az összes elérhető és írható meghajtón megkeresi az exe kiterjesztésű állományokat, és azokat megfertőzi.
4. Megfertőzi a következő kiterjesztésű állományokat:
.htm
.html
.asp
.aspx
.php
.jsp
5. Interneten keresztül letölt egy fájlt, és elmenti azt a C meghajtó gyökér könyvtárába NTDETECT.dll néven.
