El usuario que recibe y acepta el mensaje, debe pinchar en el enlace para descargar otro archivo, que es el gusano propiamente dicho, y se trata en realidad de un RAR autoextraíble.

Este archivo es copiado en la carpeta de Windows:

  c:\windows\[nombre del ejecutable]

De acuerdo a la versión del sistema operativo, las carpetas "c:\windows" y "c:\windows\system32" pueden variar ("c:\winnt", "c:\winnt\system32", "c:\windows\system").

En Windows XP, NT y 2000, modifica la siguiente entrada en el registro para ejecutar el troyano en cada reinicio del sistema:

  HKCU\Software\Microsoft\Windows NT
  \CurrentVersion\Windows
  load = [nombre del ejecutable]

En Windows 98 y ME, el gusano modifica el archivo C:\WINDOWS\WIN.INI, creando la siguiente entrada:

  [windows]
  load = [nombre del ejecutable]

1. Desactive la restauración automática en Windows XP/ME.

2. Reinicie en Modo a prueba de fallos.

3. Ejecute un antivirus actualizado y elimine los archivos infectados.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la entrada "load", en la siguiente clave del registro:

  HKCU\Software\Microsoft\Windows NT
  \CurrentVersion\Windows

6. Cierre el editor del registro.

7. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.

8. Busque lo siguiente entrada, y borre la entrada en "Run"

  [windows]
  load = [nombre del ejecutable]

9. Grabe los cambios y salga del bloc de notas.

10. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del gusano.