Jika berupa angka positif, selanjutnya diubah ke nol. Jika key tersebut tidak ada, selanjutnya dia tidak berpengaruh.
Kemudian dia mengubah Home Page atau Start Page pada Internet Explorer menuju ke suatu page yang telah didefinisi sebelumnya yang mana darinya akan didownloas suatu binary file yang bernama
Selanjutnya ActiveX akan mengedit isi registry untuk membuatnya dijalankan pada saat booting dan menulis ke file yang telah dipersiapkan sebelumnya. File ini juga digunakan worm untuk menyebarkan dirinya. Ini merupakan file yang di ke pemakai IRC lainnya.
Semua file dengan extension .vbs, .vbe, .js, .jse, .css, .wsh, .sct, .hta, .jpg, atau .jpeg diganti dengan duplikasi dari virus tersebut dengan nama file tersebut dengan ditambah suatu extension .vbs. Hal ini berarti jika suatu file dengan nama ankit.bmp kemudian virus duplikasi dari virus adalah ankit.bmp.vbs
Virus tidak menghapus file dengan extension .mp2 or .mp3. Bahkan mengubah atribut file menjadi hidden dan membuat duplikasi dirinya dengan nama dari mp2 atau mp3 yang memiliki extension .vbs.
Pertama jangan membuka attachment apapun dengan extension .vbs walaupun nampaknya email tersebut berasal dari sumber dapat dipercaya, dan hapus email tersebut. Juga jangan menerima DCC apapun dari seseorang yang dapat dipercaya.
Bagian executable dari worm tersebut dimana didownload dari net adalah suatu trojan mencuri password. Berikut ini diambil dari suatu posting Bugtraq yang mana menggambarkan cara kerja dari Trojan pencurian password yang bersesuaian dengan worm tersebut. Pada startup, trojan mencoba mencari suatu window tersembunyi dengan nama 'BAROK...'.
Jika ada, trojan tersebut selesai seketika. Jika tidak - bagian utama dari rutin mengambil control dan memeriksa keberadaan WinFAT32 subkey pada Registry key berikut:
Jika WinFAT32 subkey tidak ditemukan, trojan tersebut membuatnya, menduplikasi dirinya ke \Windows\System\ directory sebagai WINFAT32.EXE dan kemudian menjalankan file dari lokasi tersebut. Modifikasi tersebut diatas akan membuat trojan menjadi aktif setiap window start.
Untuk mengirim e-mailnya. anda harus melakukan blokir terhadap alamat tersebut pada firewall. Pesannya sebagai berikut :