Cuando el exploit es abierto por el usuario,crea los siguientes archivos:

  c:\windows\system32\zsyhide.dll
  c:\windows\system32\zsydll.dll

Intenta inyectar el archivo ZSYDLL.DLL en el proceso del Internet Explorer, esto puede causar que el programa deje de funcionar.

Para ejecutarse en cada reinicio de Windows, crea las siguientes entradas:

  HKLM\SOFTWARE\Microsoft\Windows NT
  \CurrentVersion\Windows
  AppInit_DLLs = c:\windows\system32\zsyhide.dll

  HKLM\SOFTWARE\Microsoft\Windows NT
  \CurrentVersion\Winlogon\Notify\zsydll
  dllname = c:\windows\system32\zsydll.dll

ZSYHIDE.DLL contiene rutinas de un troyano de acceso remoto que permiten a un usuario remoto acceder al equipo infectado.

El troyano intenta acceder a la siguiente dirección:

  http: // scfzf .xicp .net/

Aplica técnicas de rootkit para ocultar el archivo ZSYHIDE.DLL y las entradas creadas en el registro.

Los siguientes comandos pueden ser ejecutados por un atacante remoto:

  Obtener información del sistema infectado
  Ejecutar un shell (cmd.exe -consola de comandos-)
  Modificar el registro de Windows
  Crear, leer, escribir, borrar archivos
  Buscar archivos y  carpetas
  Modificar servicios
  Iniciar o detener procesos
  Listar las ventanas abiertas
  Reiniciar o cerrar Windows
  Enumerar recursos en red

1. Desactive la restauración automática en Windows XP/ME.

2. Reinicie en Modo a prueba de fallos.

3. Ejecute un antivirus actualizado y elimine los archivos infectados.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la entrada "AppInit_DLLs", en la siguiente clave del registro:

  HKLM\SOFTWARE\Microsoft\Windows NT
  \CurrentVersion\Windows

6. Elimine bajo la columna "Nombre", la entrada "dllname", en la siguiente clave del registro:

  HKLM\SOFTWARE\Microsoft\Windows NT
  \CurrentVersion\Winlogon\Notify\zsydll

7. Cierre el editor del Registro del sistema.

8. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del troyano.