*مصدر الإصابة الذي لاحظته Kaspersky كان الإعلانات المحقونة من شركة إعلانية روسية مشهورة AdFox.ru والتي تقوم مواقع روسية كثيرة بالتعامل معها لإظهار إعلانات موجهة على صفحاتها.

الجزء المشار إليه في الصورة بلون مظلل هو المقطع الضار الذي تم حقنه في فضاء عناوين javaw.exe

بعد أن يتم الحقن بنجاح، تقوم المكتبة الضارة التي تم حقنها في الذاكرة بإرسال طلبات إلى عناوين عبر الانترنت، تشبه هذه الطلبات إلى حد بعيد استعلامات البحث في محرك Google، كالتالي على سبيل المثال:

تتضمن هذه الطلبات معلومات عن المواقع التي قام المستخدم بزيارتها والتي يتم الحصول عليها من المتصفح، بالإضافة إلى العديد من المعلومات الأخرى حول النظام المصاب.

ونظراً للطريقة المستخدمة في حقن الكود الخبيث في ذاكرة برنامج، فإنه يبقى نشطاً إلى حين إعادة تشغيل النظام المصاب فقط، لكن في هذه الحالة، فهذا الأمر لن يؤثر على أصحاب هذه الـ bot.

ومن الأسباب خلف هذا الاعتقاد، أنه بعد أن يتم إرسال عدد من الطلبات إلى قاعدة التحكم C&C واستلام إجابات منها، تقوم البرمجية الضارة باستخدام وسائل عديدة لتعطيل ميزة UAC (في Windows Vista+)، يصبح بإمكان البرمجية بعدها تثبيت نسخة من تروجان Lurk على الجهاز المصاب. ومن الجدير بالذكر بأنه قرار تثبيت نسخة من التروجان يتم استلامه من قاعدة الإدارة والتحكم.

السبب الثاني، أن احتمال عودة مستخدم هذا النظام إلى أحد المواقع المصابة بإعلانات AdFox.ru والتي حصل على إصابته الأولى منها، عالٍ.

ولكون البرمجية الضارة لا تقوم بكتابة أي ملف ضار إلى القرص الصلب عند الإصابة، يصبح من الصعب جداً على مكافحات الفيروسات التقاط الإصابة.