%SystemRoot%\system32\nwizs.exe%SystemRoot%\system32\hook_nwizs.dll%UserProfile%\Local Settings\Temp\nwizs%SystemRoot%\system32\nwizs.txt%SystemRoot%\system32\svchost.exe（偽裝）%SystemRoot%\system32\drivers\Beep.sys將 nwizs.exe 加入啟動項，並隱藏自身檔案與註冊表鍵值，一般工具無法看見。另具 IFEO 映像劫持、破壞註冊表隱藏鍵值、鎖定 IE 首頁、上傳本機資訊等模組（本樣本未啟用）。
svchost.exe 進程迷惑用戶正常系統也有多個 svchost.exe，病毒借此偽裝，普通用戶難辨真偽、不知該終止哪個。
所有磁碟機根目錄建立 autorun.inf + nwizs.exe。
hook_nwizs.dll 隱藏檔案與鍵值掩飾入侵痕跡，用戶難察覺系統已被動手腳。