电子邮件的内容中会写成“Doh！April Fools”的形式，后面紧跟一串连接，如果用户点击该连接，默认的互联网浏览器会打开一个有卡通小丑的页面。其后5秒，会弹出下载窗口，并在页面提示“如果你的下载没有启动，点击这里运行。”

　　当用户点击下载之后，暴风蠕虫会安装到C：\WINDOW\Saromis.exe路径，同时会获得内建防火墙的控制权，同时打开外部连接，然后监听随机UDP端口。