Intenta deshabilitar algunos servicios relacionados con aplicaciones de seguridad.

Al ejecutarse, crea los siguientes archivos:

  \TEMP\1E.tmp
  c:\windows\system32\cmut449c14b7.dll
  c:\windows\system32\e1.dll
  c:\windows\system32\hpzl449c14b7.exe
  c:\windows\system32\msji449c14b7.dll
  c:\windows\tserv.c
  c:\windows\tserv.dll
  c:\windows\tserv.exe
  c:\windows\tserv.s
  c:\windows\tserv.wax
  c:\windows\tserv.z

Crea las siguientes entradas en el registro del sistema:

  HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
  AppInit_DLLs = msji449c14b7.dll daniwshb.dll msv1nv4_.dll

  HKLM\SOFTWARE\Microsoft
  \Windows NT\CurrentVersion\Winlogon\Notify\acac

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\Run
  tsrv = c:\windows\tsrv.exe s

  HKLM\SOFTWARE\Microsoft\wuapx9tt 

El troyano intenta eliminar o detener las siguientes aplicaciones o servicios de seguridad:

  Agnitum Outpost Firewall
  Centro de Seguridad de Windows
  Kaspersky Anti-Virus Personal
  Kerio WinRoute
  McAfee Personal Firewall
  Sygate Personal Firewall
  Symantec Internet Security
  Zone Labs ZoneAlarm

Para propagarse utiliza mensajes con distintos asuntos y textos.

Las direcciones a las que envía los mensajes, son extraídas de archivos de la máquina infectada con las siguientes extensiones:

  .adb
  .asp
  .cfg
  .cgi
  .dbx
  .dhtm
  .eml
  .htm
  .html
  .jsp
  .mbx
  .mdx
  . mht
  .mmf
  .msg
  .nch
  .ods
  .oft
  .php
  .sht
  .shtm
  .stm
  .tbb
  .txt
  .uin
  .wab
  .wsh
  .xls
  .xml

1. Desactive la restauración automática en Windows XP/ME.

2. Reinicie en Modo a prueba de fallos.

3. Ejecute un antivirus actualizado y elimine los archivos infectados.

3. Ejecute un antivirus actualizado y tome nota de los archivos infectados antes de eliminarlos.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la entrada "tsrv", en la siguiente clave del registro:

  HKLM\SOFTWARE\Microsoft\Windows
  \CurrentVersion\Run

6. Elimine bajo la columna "Nombre", la entrada "AppInit_DLLs", en la siguiente clave del registro:

  HKLM\SOFTWARE\Microsoft\Windows NT
  \CurrentVersion\Windows

7. Cierre el editor del Registro del sistema.

8. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del gusano.