В теме писем, рассылаемых вирусом, содержится информация, призванная гарантированно обратить на себя внимание пользователей: "SN: Новая безопасная почта", "Re: продвинутая почта", "Статус поставки", "Re: Ответ сервера" и т.п.

После запуска на компьютере жертвы вирус распространяется по файловой системе, в первую очередь, поражая файл winlibs.exe, как правило, содержащий множество фамилий и имен, которые вирус затем использует при подделке обратного адреса рассылаемых писем.

Ну и на заключительном этапе, вирус ищет почтовые адреса при помощи поисковика Yahoo, чтобы затем разослать по ним свои копии.

Источник: proext.com