Các file mã độc đính kèm có định dạng “*.docm”,ảnhbáomãđộctốngtiềnRansomwarepháttánquafileđịnhdạmancity vs mu khi quan sát bình thường sẽ thấy file đính kèm có định dạng gần giống với các file “Word Document” có phần tên mở rộng là “*.doc” hay “*.docx” thông thường, nhưng thực tế đây là loại file “Word Macro – Enable Document”.

Các file có loại định dạng này chứa trong nó là các đoạn mã thực thi Macro. Các macro sẽ được thực thi khi file đính kèm được kích hoạt. Trong trường hợp này các macro độc hại thực thi sẽ tiến hành tải và cài đặt mã độc mã hóa dữ liệu Locky vào máy của người dùng để thực hiện hành vi mã hóa dữ liệu tống tiền đòi tiền chuộc.