사용자는 포털 사이트나 커뮤니티 사이트 등을 통해 윈도우 정품 인증을 위한 불법 프로그램으로 위장한 악성코드를 다운로드하게 된다. 이렇게 다운로드 받은 파일(KMSPico10.2.1.exe)은 [그림 1]과 같이 악성 행위를 하는 배치 파일(KMSPICO_SETUP.bat)을 생성한다. 생성된 배치 파일은 정품 인증 파일(KMSPicoActivator.exe)을 실행시켜 정상적인 인증을 하는 것처럼 사용자들을 속이고 그 이후에 레지스트리에 등록하는 파일(Registry_Activation.exe)과 마이너 악성코드(Activation.exe)를 실행한다.