Treść krążącego w sieci e-maila brzmi następująco:

Dzień dobry,
niestety nie możemy dostarczyć Państwa przesyłki wysłanej 1 lipca, ponieważ adres odbiorcy nie istnieje. Prosimy o wydrukowanie potwierdzenia nadania przesłanego w załączniku tego maila - wraz z nim będą Państwo mogli odebrać od nas nadaną paczkę.

W obiegu pojawiła się także angielskojęzyczna wersja wiadomości:

Dear Sir/Madam,
Unfortunately we were not able to deliver postal package you sent on July the 1st in time because the recipient's address is not correct. Please print out the invoice copy attached and collect the package at our office.

Załączone do e-maila archiwum ZIP jest w większości przypadków tak naprawdę plikiem RAR - informuje serwis Heise Online. Otwarcie znajdującego się wewnątrz pliku powoduje uruchomienie mechanizmu, który ściąga z internetu złośliwe oprogramowanie i infekuje nim komputer ofiary.

W tej chwili trojan wykrywany jest przez 63% antywirusów - informują użytkownicy forum Security Cadets. Przeskanowali oni dołączony do podejrzanych wiadomości plik ups_invoice.zip za pomocą usługi VirusTotal udostępnianej przez Hipasec Sistemas.

Rezydujący w załączniku koń trojański rozpoznawany jest jako Trojan-Downloader.Win32.Obitel.a (Kaspersky), Trojan-Downloader.Win32.Tiny.brm (F-Secure), Troj/Agent-HFU (Sophos) lub podobnie. Skanery niektórych producentów nie zostały jeszcze zaopatrzone w nowe sygnatury, sygnalizują więc tylko znalezienie podejrzanego pliku. Na blogu PandaLabs można zobaczyć wykres obrazujący częstotliwość pojawiania się tego typu e-maili w ciągu ostatnich dni.