Программа является приложением Windows (PE EXE-файл), имеет размер 3229 байт, упакована FSG.
После запуска троянец копирует себя в системный каталог Windows с именем gxlib.exe:
%System%\gxlib.exe
Затем регистрирует этот файл в ключе автозапуска системного реестра:
[HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] "vmcleaner"="gxlib.exe"
При каждой следующей загрузке Windows автоматически запустит файл-троянец.
Для изменения уровня защиты в Internet Explorer троянец изменяет различные ключи в следующем разделе системного реестра:
[HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
Данный троянец показывает рекламную HTML-страницу.