Работа данного вируса основана на подмене системного файла hosts, который используется в Windows для преобразования символьных имен доменов (google.com) в соответствующие им IP-адреса (64.233.167.99) и наоборот. То есть каждый раз, когда вы вводите в адресную строку браузера название сайта, ваш компьютер, прежде чем с ним соединится, должен преобразовать это «буквенное» название в соответствующие ему числа.

      Вирус подменяет IP адрес введенного вами сайта на IP адрес сайта злоумышленника и делает это абсолютно незаметно для вас. Если вы увидели надпись «Ваш аккаунт заблокирован за рассылку спама» то первое что нужно сделать это проверить содержимое файла hosts который находиться в директории WINDOWS\system32\drivers\etc\

Стандартное содержимое файла следующие:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a ‘#’ symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost

---