Архитектура Ramsay позволяет ему сканировать устройство, а затем собирать и хранить данные, ожидая возможности извлечь их из закрытой системы и передать вовне.
Вредонос постепенно совершенствуется, и к настоящему времени обнаружены уже три версии. При этом в последней применяются продвинутые технологии защиты от обнаружения, что делает Ramsay еще более опасным.
По данным Eset, зафиксировано несколько векторов заражения: эксплуатация старых уязвимостей Microsoft Word с 2017 г., распространение через USB-накопители и с помощью фишинга.
Ramsay имеет сходство с вредоносом Retro, разработанным южнокорейской преступной группировкой Darkhotel. Однако более точные данные о его происхождении на данный момент отсутствуют.