Il fonctionne selon trois axes principaux. Déployé sur un serveur d'analyse du réseau, il commence logiquement par détecter l'attaque ou le virus. Il va ensuite contre-attaquer et détruire le malware.

Mais là où il se distingue d'un simple antivirus, c'est qu'il va collecter des informations en remontant la piste de l'attaque. Ainsi, d'ordinateur en serveur infectés, il va réparer les dégâts ou au moins effacer les traces du virus et tenter d'atteindre l'ordinateur source, celui d'où sont partis les premiers assauts. Ce bon virus serait opérationnel aussi bien contre les attaques en déni de service que contre les tentatives d'intrusion visant à voler des données.

De nombreuses administrations et entreprises japonaises ont été récemment victimes d'attaques cybernétiques, un tel outil défensif serait donc plus qu'utile. Pour autant, la législation nippone établie en 2005, définissant, entre autres, ce qu'est une arme et les conditions d'autodéfense, ne prévoyait pas cette situation. Il serait donc impossible d'utiliser cet outil à l'heure actuelle à des fins offensives, même si le ministère de la Défense japonais indique vouloir l'utiliser seulement pour identifier les terminaux corrompus par une attaque. Dans un premier temps, tout au moins.