Jest to wieloczęściowy, rezydentny wirus infekujący pliki systemów MS-DOS (pliki COM, EXE oraz BAT), Windows (pliki PE EXE oraz biblioteka KERNEL32.DLL) oraz program Excel. Szkodnik jest uruchamialnym programem Win32 i może działać tylko w takim środowisku.

Wirus nie może rozprzestrzeniać się bezpośrednio z zainfekowanego pliku i dlatego stosuje trik umożliwiający mu tworzenie swojej kopii Win32. Gdy zarażony, DOS-owy plik jest uruchamiany lub otwierany jest zainfekowany arkusz Excela, umieszczona w nim procedura wirusa rozpoczyna działanie. Tworzy ona plik C:DEMIURG.EXE i umieszcza w nim kod wirusa (Win32). Następnie kontrolę przejmuje główna procedura wirusa.

Wirus jest rezydentny w systemach Win32. Zainfekowana biblioteka KERNEL32.DLL przejmuje funkcje dostępu do plików (otwieranie, kopiowanie, przenoszenie, zmiana atrybutów) i zaraża uruchamiane pliki COM, EXE oraz PE EXE.

Aby zainfekować plik KERNEL32.DLL wirus stosuje sztuczkę. Plik ten jest nieustannie wykorzystywany przez system operacyjny (Windows) i z tego powodu jest zabezpieczony przed zapisem. W momencie infekowania, wirus kopiuje oryginalną bibliotekę z katalogu systemowego Windows (gdzie domyślnie się ona znajduje) do katalogu głównego Windows i zaraża kopię. Przykładowo:

C:WINDOWSSYSTEMKERNEL32.DLL -
oryginalny plik w katalogu systemowym;

C:WINDOWSKERNEL32.DLL -
zainfekowana kopia w katalogu głównym Windows.

Podczas kolejnego uruchamiania systemu Windows, wirus nadpisuje oryginalnÄ… bibliotekÄ™ zainfekowanÄ… kopiÄ….

W celu zainfekowania programu MS Excel, wirus tworzy swój obraz (w formacie tekstowym) i zapisuje go w pliku C:DEMIURG.SYS. Następnie, pobiera lokalizację Excela z rejestru systemowego i tworzy w niej plik DEMIURG.XLS, zawierający krótkie makro Auto_Open. Podczas następnego startu, Excel automatycznie akceptuje ten plik i uruchamia zawarte w nim makro, które pobiera kod wirusa z pliku C:DEMIURG.SYS i konwertuje go do postaci binarnego pliki PE EXE. W rezultacie główny kod wirusa przejmuje kontrolę.

Podczas infekowania Excela, wirus wyłącza jego ochronę antywirusową.

Szkodnik w żaden sposób nie manifestuje swojej obecności. W jego kodzie znajduje się sygnatura autora:

[The Demiurg] - a Win32 virus by Black Jack
written in Austria in the year 2000