病毒运行后，注入到IE浏览器进程，先从网上批量下载木马程序，再搜索系统文件。若发现ieprot.dll、safemon.dll、antispy.dll、KvTrust.dll、UrlGuard.dll等文件，首先将其更名为tmp*.temp(*为数字)，然后从http://xtx.kv8.info/images下载木马程序列表，搜罗各类网络木马。这个病毒是一个由其他木马释放出的动态链接库，如果它出现在用户系统中，很可能电脑已被木马程序“攻陷”。