A、 将自身复制到%SystemDir%\\svch0st.exe (通常为C:\WinNT\system32、C:\Windows\system32、C:\windows\system)

B、在注册表主键：
HKEY_CURRENT_USER \SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Current Version\Runonce
下添加如下键值:
“svch0st.exe” = “%SystemDir%\svch0st.exe”
“taskmgr.exe” = “%SystemDir%\svch0st.exe”

C、该病毒每隔10毫秒检查当前系统是否在运行以下网页浏览器：
"Microsoft Internet Explorer"
"Netscape"
"Offline Explorer"
如果正在运行，病毒还会检测当前打开的窗口标题是否有以下文字：
招商银行个人银行
招商银行一网通：
中国工商银行新一代网上银行
申请牡丹信用卡
个人网上银行
中国工商银行网上银行：
中国建设银行网上银行
登陆个人网上银行;;
::中国建设银行
中国建设银行网上银行：
交通银行网上银行
交通银行网上银行：
深圳发展银行帐户查询系统
深圳发展银行|个人银行
深圳发展银行 | 个人用户申请表
深圳发展银行：
民生网个人普通版
民生银行：
网上银行--个人普通业务
华夏银行：
上海银行企业网上银行
上海银行：
首都电子商城商户管理平台
首都电子商城商户管理：
中国在线支付网: :IPAY网上支付中心
中国在线支付网商户：
招商银行网上支付中心
招商银行网上支付：
个人网上银行-网上支付
工商银行网上支付：
银联支付网关-->执行支付
银联支付网关：
招商银行一网通
个人银行大众版

D、如果以上检测都成功，病毒将又会启动一个时间控制器记录当前的所有键盘记录，包括字母、数字以及控制键。

E、病毒间隔60秒会将记录的信息发送至病毒作者指的网页
http://xastu.com/ding/get.asp