病毒进入电脑后，释放病毒文件kernel.dll到系统盘的%WINDOWS%\system32\目录下，并修改系统注册表，将该文件的信息写入启动项，使自己能实现自启动。为迷惑用户，病毒会将该文件属性伪装成类似微软的文件，如果用户检查其属性，可看到其服务名为“WmdmPmSN”，名称为“Portable Media Serial Number Service”。

　　如果成功运行起来，病毒就会在系统中展开全面监视程序，记录下用户使用outlook和foxmail所有发出邮件的时间、用户名、密码、邮件服务器等信息。另外，它还会记录QQ、ICQ、MSN等即时通讯工具的帐号，密码。

　　病毒还记录用户使用IE浏览器时，输入的所有含TEXT和PASSWORD字样的内容，并将这些偷来的信息全部发送到木马种植者指定的地址。更令人发指的是，它甚至会在系统最近打开的文档中搜索doc、txt、pdf等格式的文件，将它们也上传给木马种植者。

　　而且此病毒有个狡猾之处，它在上传赃物的过程中，如果嗅探到有网络监控进程，就会暂停上传工作，等2分钟后再次检测。这样一来，监控程序就不容易发现它了。