Po uruchomieniu trojan wyświetla za pośrednictwem przeglądarki internetowej stronę:

http://crackspider.net/ie/first.php

Szkodnik tworzy w folderze Windows plik crcspider.ico o rozmiarze 766 bajtów.

Następnie trojan tworzy wpisy w rejestrze systemowym:

• [HKCUSoftwareMicrosoftInternet ExplorerMain]
  "Search Bar" = "http://crackspider.net/ie/sbar.php"
• [HKCUSoftwareMicrosoftInternet ExplorerSearch]
  "SearchAssistant" = "http://crackspider.net/ie/assist.php"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "ButtonText" = "Search cracks at CrackSpider.NET"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "ClSid" = (1FBA04EE-3024-11d2-8F1F-0000F87ABD16)
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "Default Visible" = "Yes"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "Exec" = "http://crackspider.net/ie/btn.php"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "HotIcon" = "%windows%crcspider.ico"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "Icon" = "%windows%crcspider.ico"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "MenuStatusBar" = "Search cracks at CrackSpider.NET"
• [HKCUSoftwareMicrosoftInternet ExplorerExtensions
  (10954C80-4F0F-11d3-B17C-00C0DFE39736)]
  "MenuText" = "Search cracks at CrackSpider.NET"

Trojan tworzy także w folderze Ulubione nowy folder o nazwie cracks. Zawiera on następujące odsyłacze:

! CrackSpider.NET - Cracks search engine.url 
!! TheBUGS.ws - Security Related Portal.url 
!!! CrackPortal.com - Cracks, serial numbers.....url 
anyCracks.com - Keygens, patches, crackz....url 
Astalavista - Cracks search engine.url 
CrackSpider.DE - Cracks search engine.url 
CrackSpider.US - Cracks search engine.url 
CrackWay - Since 2001 cracks arhive.url 
iCracks.net - Keygens, patches, crackz....url 
KeyGen.US - Keygens, patches, crackz....url 
mscrack.com - Cracks, serial numbers.....url

Szkodnik zmienia zawartość pliku "%System%driversetchosts" na:

213.239.0.226   andr.net
213.239.0.226   astalavista.box.sk
213.239.0.226   crackspider.com
213.239.0.226   crackz.ws
213.239.0.226   www.andr.net
213.239.0.226   www.crackz.ws
213.239.0.226   www.crackspider.com

W rezultacie podczas otwierania jednej z powyższych stron przeglądarka internetowa zainfekowanego komputera zostanie przekierowana pod adres 213.239.0.226.

Trojan dodaje do paska narzÄ™dzi przeglÄ…darki Internet Explorer wÅ‚asnÄ… ikonÄ™. która funkcjonuje jako odsyÅ‚acz do strony http://crackspider.net/ie/btn.php i otwiera folder Ulubione. StartPage-DX (McAfee),   Trojan.StartPage (Symantec),   Trojan.StartPage.278 (Doctor Web),   Trojan:Win32/StartPage.FG (RAV),   TROJ_STARTPAG.S (Trend Micro),   TR/Dldr.Favadd (H+BEDV),   Win32:Trojan-gen. (ALWIL),   Startpage.9.BV (Grisoft),   Trojan.StartPage.FG (SOFTWIN),   Trojan.Startpage-135 (ClamAV),   Trj/StartPage.gen (Panda),   Win32/StartPage.FG (Eset)