Вирус содержит один макрос, содержащий «функцию события» с именем «UserForm_Terminate». Эта функция активизируется каждый раз, когда закрывается «пользовательская форма» (UserForm — диалог, окно сообщения, кнопка и т.п.). Эта функция является основной процедурой вируса и содержит код размножения.

При активизации вирусаня процедура ищет файлы с расширением .PPT в каталоге «C:\My Documents» и в его подкаталогах, открывает их и копирует в них макро-код вируса.

По причине особенностей внутренней структуры PowerPoint вирус способен получить управления, активизироваться и размножаться только в том случае, когда в заражаемом файле-презентации содержится хотя бы одна форма (UserForm). По этой причине вирус перед заражением проверяет файлы на наличие UserForm и не заражает их, если таковой не обнаружено.

Вирус никак не проявляется. Он содержит строки-комментарии, первая из которых используется вирусом как идентификатор зараженности:

<!--1nternal-->
PPT.Attach v0.1 /1nternal

При заражении системы вирус копирует свой код в файл "Blank Presentation.pot" в каталоге Templates, который используется как базовый при создании новых презентаций. Таким образом при создании новых презентации в них будет автоматически содержаться вирусный код.

В зависимости от системного датчика случайноых чисел вирус выдает предыдущий слайд презентации. Также в зависимости от случайного числа выдает MessageBox:

PPT.ShapeMaster v0.1 /1nternal

Устанавливает на событии MouseClick вызов своего макроса "actionhook" и таким образом активизирует свой код. При срабатывании этого макроса на последнем слайде презентации вирус начинает свое размножение: заражает все активные презентации, затем ищет и заражает файлы-презентации в текущем каталоге и в его подкаталогах.

В зависимости от системного генератора случайных чисел меняет номер текущего слайда. Также в зависимости от случайного числа выдает MessageBox:

PPT.ShapeShift v0.1 /1nternal