После запуска троянская программа создает во временном каталоге Windows файлы со следующими именами:
- %Temp%\SVCHOST.exe (20656 байт; детектируется Антивирусом Касперского как Trojan-PSW.Win32.LdPinch.ur)
- %Temp%\log.vbs (277 байт; детектируется Антивирусом Касперского как Trojan.VBS.KillAV.n)
- %Temp%\SOVETY.TXT (130501 байт)
После чего данные файлы запускаются на исполнение.
При этом запускается Windows Notepad, в котором демонстрируется безобидный файл SOVETY.TXT, а действия других зараженных файлов осуществляются без ведома пользователя.