Wirusy tego typu są najczęściej pisane w językach wysokiego poziomu. Atakują one pliki, a ich działanie opiera się na hierarchii stosowanej w DOS podczas uruchamiania programów. W momencie uruchamiania programu, w przypadku nie podania rozszerzenia urachamianego pliku, najpierw poszukiwany jest plik o rozszerzeniu COM, potem EXE, a na końcu BAT. W przypadku wykorzystywania interpretatora poleceń 4DOS dochodzą jeszcze pliki BTM, poszukiwane podczas uruchamiania programu przed plikami BAT.