Cuando es ejecutado crea las siguientes entradas del registro para ejecutarse en cada reinicio del sistema:
 
  HKCU\Software\Microsoft\Windows
  \CurrentVersion\Run
  "*" = "[ruta y nombre]\[nombre aleatorio].exe"

  HKLM\Software\Microsoft\Windows
  \CurrentVersion\Run
  "*" = "[ruta y nombre]\[nombre aleatorio].exe"
 
El malware evita ejecutarse si detecta un proceso con alguna de las siguientes cadenas de texto en su nombre:
 
  ad-watch
  almon
  alsvc
  alusched
  apvxdwin
  ashdisp
  ashmaisv
  ashserv
  ashwebsv
  avcenter
  avciman
  avengine
  avesvc
  avgnt
  avguard
  avp
  bdagent
  bdmcon
  caissdt
  cavrid
  cavtray
  ccapp
  ccetvm
  cclaw
  ccproxy
  ccsetmgr
  clamtray
  clamwin
  counter
  dpasnt
  drweb
  firewalln
  fsaw
  fsguidll
  fsm32
  fspex
  guardxkickoff
  hsock
  isafe
  kav
  kavpf
  kpf4gui
  kpf4ss
  livesrv
  mcage
  mcdet
  mcshi
  mctsk
  mcupd
  mcupdm
  mcvs
  mcvss
  mpeng
  mpfag
  mpfser
  mpft
  msascui
  mscif
  msco
  msfw
  mskage
  msksr
  msmps
  mxtask
  navapsvc
  nip
  nipsvc
  njeeves
  nod32krn
  nod32kui
  npfmsg2
  npfsvice
  nscsrvce
  nvcoas
  nvcsched
  oascl
  pavfnsvr
  PXAgent
  pxagent
  pxcons
  PXConsole
  savadmins
  savser
  scfmanager
  scfservice
  scftray
  sdhe
  sndsrvc
  spbbcsvc
  spidernt
  spiderui
  spysw
  sunprotect
  sunserv
  sunthreate
  swdoct
  symlcsvc
  tsanti
  vba32ldr
  vir.exe
  vrfw
  vrmo
  vsmon
  vsserv
  webproxy
  webroot
  winssno
  wmiprv
  xcommsvr
  zanda
  zlcli
  zlh
 
Roba información y luego enviarla a un equipo remoto.

También puede ejecutar las siguientes acciones:

  Descargar archivos
  Ejecutar archivos

1. Reinicie en Modo a prueba de fallos.

2. Ejecute un antivirus actualizado y elimine los archivos infectados.

3. Ejecute un antivirus actualizado y tome nota de los archivos infectados antes de eliminarlos.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la(s) entrada(s) que hagan referencia a alguno de los nombres anotados en el paso 3, en la siguiente clave del registro:

  HKLM\SOFTWARE\Microsoft
  \Windows\CurrentVersion\Run

6. Cierre el editor del Registro del sistema.

7. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del malware.