Заражается svchost.exe. В файл добавляется код, который загружает файл mshost.dll(Trojan-Spy.Win32.Agent.ki) и запускает троянца.