这是一个内核模式驱动程序。
该驱动程序的代码是通过修改SysInternals的RegMon.sys得来。并且，该驱动程序还冒充SysInternals的版本信息来欺骗用户。
该驱动程序加载后，会创建一个名为\Device\Anfad的设备和一个名为\DosDevices\Anfad的符号链接。然后该驱动程序初始化一些同步对象，并挂钩以下Kernel API：
ZwOpenFile, ZwDeleteValueKey, ZwDeleteKey, ZwSetValueKey
该驱动会保护含有以下字符串的注册表键值不被删除和修改：
Services\HidProcess
Services\Anfad
Services\Remote Log
Services\cdnprot
Services\cdntran
Run\SearchNet_Up
Run\SearchNet
{2A0176FE-008B-4706-90F5-BBA532A49731}
这个病毒能隐藏进程，所以使用icesword能看到的。
