Для того, чтобы сделать невозможным просмотр скрытых и системных файлов на дисках зараженного ПК через Проводник, вирус изменяет значение одного из параметров в ветке ключей системного реестра с "1" на "0":

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\Explorer\Advanced\Folder\%\%]
"%"=dword:00000000

Изменение значения данного параметра приводит к тому, что при попытках пользователя установить "галочку" на параметре "Показывать скрытые файлы и папки" в свойствах просмотра каталогов через Проводник, система автоматически возвращает параметру исходное значение "Не показывать скрытые файлы и папки".
В том случае, если вирус обнаруживает в Сетевом окружении имена др. компьютеров (т.е. при наличии локальной сети), то в корне каждого из дисков инфицированного ПК вирус создает и копии под названием

%drivename%\GameSetup.exe

идентичные файлам setup.exe.
При заражении сетевых дисков червь определяет те из них, которые доступны для записи. Если доступ к общему сетевому диску закрыт паролем, то вирус пытается подобрать его, перебирая варианты из собственного "словаря" 104 варианта:

Получив доступ к сетевым дискам, на которые разрешена запись данных, вирус создает в их корнях свои файлы

%drivename%\autorun.inf
%drivename%\setup.exe
%drivename%\GameSetup.exe

Кроме того, он пытается обнаружить нижеприведенные системные подкаталоги автозагрузки программ:

\Documents and Settings\All Users\Start Menu\Programs\Startup\
\Documents and Settings\All Users\[тот же путь, но с именами подкаталогов на китайском языке]\
\WINDOWS\Start Menu\Programs\Startup\
\WINNT\Profiles\All Users\Start Menu\Programs\Startup\

Если таковые обнаружены и открыты для записи, то червь записывает в них свою копию под названием GameSetup.exe.

4. Действия червя во время работы в сети Интернет.

Сразу после внедрения в систему червь производит ряд деструктивных действий в отношении некоторых популярных антивирусов, программ-отладчиков и межсетевых экранов. Сначала он пытается принудительно завершить работу активных процессов, у которых в заголовках программных окон присутствует любое из нижеприведенных названий:

VirusScan	msctls_statusbar32	Ravmond.exe	KVCenter.kxp
NOD32	pjf(ustc)	CCenter.exe	KVSrvXP.exe
Symantec AntiVirus	IceSword	RavTask.exe	KRegEx.exe
Duba	Mcshield.exe	Rav.exe	UIHost.exe
Windows	VsTskMgr.exe	Ravmon.exe	TrojDie.kxp
esteem procs	naPrdMgr.exe	RavmonD.exe	FrogAgent.exe
System Safety Monitor	UpdaterUI.exe	RavStub.exe	Logo1_.exe
Wrapped gift Killer	TBMon.exe	KVXP.kxp	Logo_1.exe
Winsock Expert	scan32.exe	KvMonXP.kxp	Rundl132.exe

Параллельно с этим он пытается принудительно завершить активные процессы:

Schedule	KVWSC	McAfeeFramework	ccEvtMgr
sharedaccess	KVSrvXP	McShield	ccSetMgr
RsCCenter	kavsvc	McTaskManager	SPBBCSvc
RsRavMon	AVP	navapsvc	Symantec Core LC
RsCCenter	kavsvc	wscsvc	NPFMntor
RsRavMon	McAfeeFramework	KPfwSvc	MskService
KVWSC	McShield	SNDSrvc	FireSvc
KVSrvXP	McTaskManager	ccProxy

Кроме того, чтобы в дальнейшем запуск защитного ПО был невозможен, вирус удаляет из ключей реестра следующие ветки:

SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavTask
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KvMonXP
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\kav
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\KAVPersonal50
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\McAfeeUpdaterUI
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Network Associates Error Reporting Service
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ShStatEXE
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YLive.exe
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\yassistse

6. Заражение HTML-документов.

Вирус постоянно просматривает все каталоги с вложенными в них папками на всех доступных для записи дисках от C: до Z:. В каждом подкаталоге он создает по файлу

Desktop_.ini

которому присваивает атрибуты "скрытый", "системный", "архивный" и "только для чтения". В этот файл он записывает текущую дату в формате [год]-[месяц]-[день]. Когда текущая дата изменяется, вирус перезаписывает содержимое файлов Desktop_.ini.
Однако вирус не создает данные файлы в корнях дисков, а также в тех каталогах, имена которых соответствуют одному из нижеприведенных:

WINDOWS	Recycled	Internet Explorer	InstallShield Installation Information
WINNT	Windows NT	NetMeeting	MSN
system32	WindowsUpdate	Common Files	Microsoft Frontpage
Documents and Settings	Windows Media Player	ComPlus Applications	Movie Maker
System Volume Information	Outlook Express	Messenger	MSN Gamin Zone

Также он случайным образом ищет в подкаталогах, содержащих файлы Desktop_.ini, случайное количество HTML-документов, файлы которых имеют одно из следующих расширений:

htm	asp	jsp
html	php	aspx

При обнаружении таковых червь расшифровывает и считывает из своего кода вредоносный скрипт, выполненный в формате HTML, и проверяет наличие кода этого скрипта в обнаруженных HTML-документах. Если код найден, то, следовательно, файл уже заражен; если же нет, то вирус дописывает скрипт в конец заражаемого файла, добавляется пустая строка.
При запуске зараженного файла, параллельно с открытием его оригинального содержимого, вэб-броузер, установленный в системе "по умолчанию", скрытно от глаз пользователя пытается загрузить ссылку (фрагменты заменены символами "%" по соображениям безопасности):

http://ww.v%ph.net/wu%%n/down.htm

При наличии активного подключения к сети Интернет, по данной ссылке в ПК скрытно загружается и запускается на выполнение вредоносная программа.
При отсутствии активного подключения к сети Интернет вредоносный скрипт никакой опасности не представляет.

7. Прочее.

Вирус удаляет на диске, на который в ПК установлена ОС Windows, скрытый системный каталог Recycled. Этот каталог используется системой как хранилище копий удаленных пользователем файлов, поэтому он подвязан к ярлыку "Корзина" на Рабочем столе. Однако вирус создает вместо него скрытый каталог RECYCLER, который регистрирует в системе, подвязывая его к ярлыку "Корзина".
В ходе своей "деятельности" червь может создавать служебный файл

C:\test.txt

Файл червя не содержит информационной секции, а его иконка при просмотре в Проводнике выглядит следующим образом: