Według Fortinetu Rombertik dostaje się na komputery swoich ofiar poprzez e-mail. Metoda ta nazywa się spear phishing i polega na atakach wymierzonych w konkretne osoby. Najczęściej hakerzy podszywają się pod znajomych albo współpracowników ofiary. Rombertik ukrywa się w mailach pod postacią fałszywego pliku PDF, który tak naprawdę jest wykonywalnym plikiem systemu Windows o rozszerzeniu .scr. Aby zmylić odbiorcę, atakujący zmieniają ikonę pliku na znaną z PDF-ów, bądź nazywają plik według klucza <nazwa.pdf.scr>. Domyślnie w ustawieniach systemu Windows pokazywanie rozszerzeń znanych plików jest wyłączone, dlatego końcówka .scr może być niewidoczna dla użytkownika.

Gdy Rombertik zainstaluje się na komputerze ofiary, zaczyna zbierać dane logowania i inne ważne informacje. Są one przechwytywane za pośrednictwem przeglądarek internetowych. Robak może kopiować dane wpisywane w „bezpiecznym” protokole HTTPS np. na stronach banków. Zebrane informacje są przekazywane na serwery hackerów.

Rombertik wyposażony został w mechanizmy ochronne utrudniające zlokalizowanie go i zanalizowanie przez programy antywirusowe. Jeśli wykryje, że jest namierzany przez oprogramowanie chroniące komputer, próbuje nadpisać główny rekord startowy, tzw. Master Boot Record na dysku twardym komputera. MBR zawiera program rozruchowy oraz tablicę partycji i jeśli zostanie zmieniony, system nie może się uruchomić, co powoduje trwające w nieskończoność restarty. Gdy z jakichś powodów robakowi nie uda się zmienić treści MBR (zdarza się to jednak stosunkowo rzadko), szyfrowane są wszystkie pliki użytkownika zlokalizowane w folderze głównym komputera (C:Documents and Settings<nazwa użytkownika>).

Naprawienie szkód wyrządzonych przez Rombertika wymaga zastosowania narzędzi odzyskujących dane. Są programy, które pomogą przywrócić uszkodzony lub usunięty MBR. Część z nich znajduje się na nośniku instalacyjnym systemu Windows. W niektórych przypadkach konieczna będzie reinstalacja systemu operacyjnego.

Artykuł Groźny wirus niszczy dyski twarde pochodzi z serwisu CRN.