Po instalacji fałszywego antywirusa, złośliwy kod zostaje pobrany, zainstalowany i zintegrowany z systemem. Usunięcie niektórych z tych programów jest bardzo trudne. Stosują one bowiem różne tricki, aby nakłonić użytkownika do zakupu "pełnej" lub "zarejestrowanej" wersji. Najczęściej stosują fałszywe alarmy, pobierane rzeczywiste złośliwe oprogramowanie i blokowanie niektórych elementów systemu operacyjnego. Programy te nie zawsze modyfikują typowe miejsca Rejestru związane z polisami GPO, częściej dokonują zmian w bibliotekach Windows. Przy tym usuwają punkty przywracania w Windows, uniemożliwiając łatwe odtworzenie stanu sprzed infekcji.

Nie wszystko złoto co się świeci

Niektóre z tych programów posiadają realistyczny interfejs użytkownika, wzorujący się na oryginalnych programach. W ten sposób naśladowane są pakiety firm Symantec, McAfee czy Trend Micro albo prawdziwe narzędzia, takie jak Spybot S&D. Podszywanie idzie znacznie dalej, niektóre z tych programów potrafią przedstawić się starszym konsolom zarządzania jako pełnoprawne oprogramowanie, chociaż nieaktualne. Nowoczesne konsole, które uwierzytelniają klienta przy pomocy certyfikatów z podpisem cyfrowym, są odporne na ten atak.