El gusano se conecta a un canal IRC y espera comandos remotos. Un atacante externo puede utilizar la puerta trasera del gusano para realizar las siguientes acciones:

  Terminar procesos
  Realizar ataques de denegación de servicios
  Reiniciar el sistema
  Abrir una consola remota
  Ejecutar un servidor ftp, http o tftp
  Capturar la salida del teclado
  Explotar vulnerabilidades

Cuando se ejecuta se copia con el nombre "Systern.exe" dentro de la siguiente carpeta:

  C:\Windows\System

De acuerdo a la versión del sistema operativo, las carpetas "c:\windows" y "c:\windows\system32" pueden variar ("c:\winnt", "c:\winnt\system32", "c:\windows\system").

Para ejecutarse en cada reinicio del sistema crea las siguientes entradas en el registro de Windows:

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\Run
  MSWindowsUpdate = Systern.exe

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\RunServices
  MSWindowsUpdate = Systern.exe

  HKCU\Software\Microsoft\OLE
  MSWindowsUpdate = Systern.exe

1. Desactive la restauración automática en Windows XP/ME.

2. Reinicie en Modo a prueba de fallos.

3. Ejecute un antivirus actualizado y elimine los archivos infectados.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la entrada "MSWindowsUpdate", en las siguientes claves del registro:

  HKCU\Software\Microsoft\OLE

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\Run

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\RunServices

6. Cierre el editor del Registro del sistema.

7. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del gusano.