1、文件运行后会释放以下文件
%System32%\severe.exe                       38,518 字节 
%System32%\kmawii.exe                            38,518 字节 
%System32%\kmawii.dll                      38,400 字节 
c%System32%\drivers\qxctrt.exe           38,518 字节 
%System32%\drivers\etc\hosts               1,465 字节 
%System32%\drivers\conime.exe           38,518 字节
 
2、新增注册表 
添加自启动项： 
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 注册表值： qxctrt
 类型:      REG_SZ
 值：       C:\WINDOWS\system32\kmawii.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
键值: 字符串: "C:\WINDOWS\system32\severe.exe"
 注册表值： severe.exe
 类型:      REG_SZ
 值：       "C:\WINDOWS\system32\severe.exe"
 
添加映像劫持文件
 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe\]
 注册表值：Debugger
 类型：    REG_SZ
 值：      "C:\WINDOWS\system32\drivers\qxctrt.exe
 以下均是被映像劫持的文件
 adam.exe avp.com        avp.exe     EGHOST.exe      IceSword.exe
 iparmo.exe   kabaload.exe    KRegEx.exe  KvDetect.exe    KVMonXP.kxp
 KvXP.kxp     MagicSet.exe    mmsk.exe    msconfig.com    msconfig.exe
 NOD32.exe    PFW.exe         PFWLiveUpdate.exe           QQDoctor.exe
 Ras.exe      Rav.exe         RavMon.exe      regedit.com         regedit.exe
 runiep.exe       SREng.EXE   TrojDie.kxp     WoptiClean.exe
 
 3、在进程中添加进程kmawii.exe   severe.exe  conime.exe，用来加载病毒DLL来监控鼠标击键。修改%System32%\drivers\ect\hosts文件中的内容，用来屏蔽杀毒软件厂商的网站。文件属性设置为隐藏，释放病毒文件hx1.bat修改文件创建时间，修改完后删除自身。
 
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
 
%Temp%  = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
 %Windir%\                       WINDODWS所在目录
 %DriveLetter%\                   逻辑驱动器根目录
 %ProgramFiles%\                系统程序默认安装目录
 %HomeDrive% = C:\ 当前启动的系统的所在分区
 %Documents and Settings%\ 当前用户文档根目录
 

病毒清除：

（1）结束进程（注：以下进程同时结束）
 %System32%\severe.exe
 %System32%\kmawii.exe
%System32%\drivers\conime.exe
 
（2）用工具IceSword删除注册表项 
删除自启动项： 
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 注册表值： qxctrt
 类型:      REG_SZ
 值：       C:\WINDOWS\system32\kmawii.exe  
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
 键值: 字符串: "C:\WINDOWS\system32\severe.exe"
 注册表值： severe.exe
 类型:      REG_SZ
 值：       "C:\WINDOWS\system32\severe.exe"
 
 删除以下被映像劫持文件中的“注册表值：Debugger”项
 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe\]
 注册表值：Debugger
 类型：    REG_SZ
 值：      "C:\WINDOWS\system32\drivers\qxctrt.exe
 被映像劫持的文件列表见上  
 
（3）恢复%System32%\drivers\etc\hosts文件中的内容。