感染
ワームのプログラムが実行されるとメモリに常駐します。ワームのプロセスはサービスとして常駐するのでCtrl-Alt-Delのタスクマネージャーには表示されません。 

　そしてまず以下のファイルをWindowsのシステムディレクトリに作成します。 

　Kernel32.exe 
　cp_25389.nls 
　kdll.dll 
　上記ファイルのうち"Kernel32.exe"はワームのコピーです。すでにこのファイルが存在しシステムから使用中だったとしてもワームはプロセスを中止させ元からあるファイルを削除して新しく自身のコピーを作成します。 
　"kdll.dll"は侵入したシステム上でのキー入力を記録するためのハッキングツールプログラムです。この"kdll.dll"も「WORM_BADTRANS.B」の名称で検出されます。"kdll.dll"も実行されるとサービスとしてメモリに常駐します。また"cp_25389.nls"は"kdll.dll"が記録したキー入力の内容を暗号化して保存するためのログファイルです。 

　次にWindowsのレジストリに以下の値を追加します： 

　場所：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce 
　　値：kernel32 = "kernel32.exe” 

　これによってWindows起動時にワームが自動実行されるように設定されます。以上の設定を終えるとワームは実行された自身のファイルを削除してしまいます。 
 

　このワームは大きく分けて自身を添付したメールを送信する「ワーム活動」とキー入力を記録する「ハッキング活動」の二種の不正活動を行います。