这个被mcafee命名为“formspy”的木马包含了键盘记录嗅探器，可以记录键盘输入内容。所有的信息都会被发送到一个木马程序内部包含的ip地址。而只有当使用者首先打开伪装的email的附件，才会运行这个木马，并感染系统。

formspy伪装成firefox的扩展numberedlinks 0.9，而这个插件原本是能使用户通过键盘输入就可以浏览因特网。这个木马程序使用了一部分原本扩展的代码，为的是其能够被firefox识别并安装。但是在安装这个扩展的过程中，不会显示确定安装对话框，这样，使用者就不会监测到木马了。

formspy的存在，可以通过在扩展列表中被伪装成firefox扩展numberedlinks 0.9的突然出现来验证。mcafee建议开源浏览器的开发者应花更多时间在扩展的安全性上，这样，用户就不必疲于应付日益增长的病毒蠕虫软件的传播了。