Cuando se ejecuta, el troyano puede crear archivos como los siguientes:

  [Carpeta Web Folders]\ibm0000?.dll
  [Carpeta Web Folders]\ibm0000?.exe

Donde "?" es un dígito al azar.

Donde [Carpeta Web Folders] puede ser una de las siguientes:

  C:\Archivos de programa\Archivos comunes
  \Microsoft Shared\Web Folders

  C:\Program files\Common files
  \Microsoft Shared\Web Folders

También se crean o modifican las siguientes entradas en el registro para autoejecutarse en cada reinicio del sistema:

  HKCU\Software\Microsoft\Windows
  \CurrentVersion\Run
  shell = [Camino y nombre del ejecutable]

  HKLM\SOFTWARE\Microsoft\Windows NT
  \CurrentVersion\Winlogon
  Shell = explorer.exe [Camino y nombre del ejecutable]

1. Desactive la restauración automática en Windows XP/ME.

2. Reinicie en Modo a prueba de fallos.

3. Ejecute un antivirus actualizado y tome nota de los archivos infectados antes de eliminarlos.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la(s) entrada(s) que hagan referencia a alguno de los nombres anotados en el paso 3, en la siguiente clave del registro:

  HKLM\SOFTWARE\Microsoft
  \Windows\CurrentVersion\Run

6. Cierre el editor del Registro del sistema.

7. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del troyano.