Pikabot fonctionne comme une porte dérobée, permettant l'accès à distance aux systèmes compromis, et reçoit des commandes d'un serveur C2. Il utilise des techniques d'anti-analyse et déploie un injecteur pour exécuter des tests avant d'injecter son module principal dans un processus spécifié.