A、自我复制到
%SYSDIR%\IEXPLORE.EXE
%SYSDIR%\kernel66.dll
%SYSDIR%\RAVMOND.exe
%SYSDIR%\SysBoot.EXE
%SYSDIR%\WinDriver.exe
%SYSDIR%\winexe.exe
%SYSDIR%\WinGate.exe
%SYSDIR%\WinHelp.exe
%DRIVER%\SysBoot.exe

B、病毒将释放一个DLL文件，此文件将在系统中殖入远程后门代码
%SYSDIR%\reg678.dll
%SYSDIR%\Task688.dll
病毒将释放一个利用QQ发送消息传播的病毒:"Win32.Troj.QQmsgSupnot"，相关文件名目录为：
%SYSDIR%internet.exe
%SYSDIR%svch0st.exe

C、添加以下键值
HKEY_CLASSES_ROOT\exefile\shell\open\command
(默认) : %SYSDIR%\WINEXE.EXE "%1" %*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"WinGate initialize" = "%SYSDIR%\WINGATE.EXE -REMOTESHELL"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"WinHelp" = "%SYSDIR%\WINHELP.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"Remote Procedure Call Locator" = "RUNDLL32.EXE REG678.DLL ONDLL_REG"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"Program In Windows" = "%SYSDIR%\IEXPLORE.EXE"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\RunServices
"SystemTra" = "%WINDIR%\SYSTRA.EXE /SYSTRA:KERNEL32.DLL"
在win9x下还修改系统文件：
WIN.INI
[WINDOWS]
"RUN" = "RAVMOND.EXE"
在win2k、NT、XP下注册服务：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ll_reg
Display Name = "ll_reg "
IMAGEPATH ＝ "RUNDLL32.EXE TASK688.DLL ONDLL_SERVER"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Management Instrumentation Driver Extension
Display Name = "Windows Management Instrumentation Driver Extension"
IMAGEPATH = "%SYSTEM%\WINDRIVER.EXE -START_SERVER"
病毒也将在每一个硬盘和可移动盘的根目录下建立一个文件：AUTORUN.INF的文件，内容为：
[AUTORUN]
Open="%DRIVER%:\SysBoot.EXE" /StartExplorer
其中%DRIVER%为相应的驱动器。
这样在用户打开该驱动器后将运行病毒

D、Windows弱口令密码试探攻击、放出后门程序、盗取密码

E、病毒利用mapi及搜出的email地址，对收信箱里的邮件进行回复（传播）。
邮件标题随机从病毒体内选出

F、当病毒被运行后每隔一定时间发送一次通知邮件给位于163.com的一个信箱,邮件内容为中毒系统的ip地址，以便利用病毒的后门进行控制

A.病毒运行后将建立一个HTTP服务器，监听TCP端口20808
　该功能将响应远程的下载请求，将本地的病毒文件复制到远程机器。

B.病毒搜索QQ聊天软件，向在线的好友发送诱惑信息，内容如下：

　“你是那样地美，美得象一首抒情诗。你全身充溢着少女的纯情和青春的风采。
　留给我印象最深的是你那双湖水般清澈的眸子，以及长长的、一闪一闪的睫毛。
　像是探询，像是关切，像是问候。
　这是你需要的东西：
　下载地址1
　http://*.*.*.*：:20808//%DRIVE%c:\\filename.exe
　下载地址2
　http://*.*.*.*：:20808//%DRIVE%c:\\filename.exe”
　上面的内容头部也可能为下列之一：
　其实，我最先认识你是在照片上。照片上的你托腮凝眸，若有所思。那份温柔、那份美感、
　那份妩媚，使我久久难以忘怀远远地，我目送你的背影，你那用一束大红色绸带扎在脑后的
　黑发，宛如幽静的月夜里从山涧中倾泻下来的一壁瀑布。你蹦蹦跳跳地走进来，一件红尼大
　衣，紧束着腰带，显得那么轻盈，那么矫健，简直就像天边飘来一朵红云。你笑起来的样子
　最为动人，两片薄薄的嘴唇在笑，长长的眼睛在笑春花秋月，是诗人们歌颂的情景，可是我
　对于它，却感到十分平凡。只有你嵌着梨涡的笑容，才是我眼中最美的偶象。你其有点像天
　上的月亮，也像那闪烁的星星，可惜我不是诗人，否则，当写一万首诗来形容你的美丽。你
　是一尊象牙雕刻的女神，大方、端庄、温柔、姻静，无一不使男人深深崇拜。在风吹干你的
　散发时，我简直着魔了：在闪闪发光的披肩柔发中，在淡淡入鬓的蛾眉问，在碧水漓漓的眼
　睛里……你竟是如此美丽可人！你是花丛中的蝴蝶，是百合花中的蓓蕾。无论什么衣服穿到
　你的身上，总是那么端庄、好看。你那瓜子形的形（编者注：该字疑为病毒作者笔误），那
　么白净，弯弯的一双眉毛，那么修长；水汪汪的一对眼睛，那么明亮！
　其中*.*.*.*为本机地址，%filename%为下列之一：
　"c:\setup.exe"
　"c:\hello.exe"
　"c:\flash.com"
　"c:\123456.exe"
　"c:\pass.exe"
　"c:\game.exe"
　"c:\my_photo.exe"
　"c:\update.exe"
　"c:\mp3.exe"
　"c:\666666.exe"
　这些都是病毒本身