Se copia a si mismo en la siguiente ubicación:

  C:\Windows\System32\WINSHOST.EXE

Crea las siguientes entradas en el registro para autoejecutarse en cada reinicio de Windows:

  HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  winshost.exe = "C:\Windows\System32\WINSHOST.EXE"

  HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  winshost.exe = "C:\Windows\System32\WINSHOST.EXE"

También crea las siguientes claves del registro como marca de infección:

  HKEY_CURRENT_USER\Software\FirstRun
  FirstRunRR = "dword:00000001"

  HKEY_USERS\.DEFAULT\Software\FirstRun
  FirstRunRR = "dword:00000001"

Y modifica las siguientes entradas

  HKLM\SYSTEM\CurrentControlSet\Services\Alerter
  Start = "dword:00000004"

  HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
  Start = "dword:00000004"

  HKLM\SYSTEM\CurrentControlSet\Services\wuauserv
  Start = "dword:00000004"

Luego, el troyano libera el siguiente archivo:

  C:\Windows\System32\WIWSHOST.EXE

WIWSHOST.EXE se trata en realidad de un DLL (Dynamic Link Library), que se intentará inyectar en el proceso del Explorer.exe utilizando la función "CreateRemoteThread". Esta función existe solo en Windows con tecnología NT (NT, 2000, XP). La misma, crea un hilo nuevo en cualquier proceso y ejecuta su código.

Luego de la inyección de código, WINSHOST.EXE finaliza su ejecución, y el proceso malicioso llamado WIWSHOST permanece ejecutándose encubierto dentro de la tarea del propio Explorer.

Sobrescribe el archivo HOSTS en "c:\windows\system32\Drivers\etc\hosts" (en esa ubicación en Windows NT, 2000 y XP), con la siguiente información (esto deja el archivo HOSTS con su configuración por defecto):

  127.0.0.1 localhost

El troyano también es capaz de finalizar numerosos programas de seguridad (antivirus y cortafuegos). Para ello, intentará deshabilitar cualquier servicio en ejecución con los siguientes nombres:

  a5v.dll
  AUPD1ATE.EXE
  AUPDATE.EXE
  AUPDATE.EXE
  av.dll
  av.dll
  Av1synmgr.exe
  Avc1onsol.exe
  Avconsol.exe
  Avconsol.exe
  avg23emc.exe
  avgc3c.exe
  avgcc.exe
  avgcc.exe
  avgemc.exe
  avgemc.exe
  Avsynmgr.exe
  Avsynmgr.exe
  C1CSETMGR.EXE
  c6a5fix.exe
  cafix.exe
  cafix.exe
  CC1EVTMGR.EXE
  cc1l30.dll
  ccA1pp.exe
  ccApp.exe
  ccApp.exe
  CCEVTMGR.EXE
  CCEVTMGR.EXE
  ccl30.dll
  ccl30.dll
  CCSETMGR.EXE
  CCSETMGR.EXE
  ccv1rtrst.dll
  ccvrtrst.dll
  ccvrtrst.dll
  CM1Grdian.exe
  CMGrdian.exe
  CMGrdian.exe
  is5a6fe.exe
  isafe.exe
  isafe.exe
  K2A2V.exe
  KAV.exe
  KAV.exe
  kav12mm.exe
  kavmm.exe
  kavmm.exe
  LUAL1L.EXE
  LUALL.EXE
  LUALL.EXE
  LUI1NSDLL.DLL
  LUINSDLL.DLL
  LUINSDLL.DLL
  Luup1date.exe
  Luupdate.exe
  Luupdate.exe
  Mcsh1ield.exe
  Mcshield.exe
  Mcshield.exe
  mysuperprog.exe
  NAV1APSVC.EXE
  NAVAPSVC.EXE
  NAVAPSVC.EXE
  NPFM1NTOR.EXE
  NPFMNTOR.EXE
  NPFMNTOR.EXE
  outp1ost.exe
  outpost.exe
  outpost.exe
  RuLa1unch.exe
  RuLaunch.exe
  RuLaunch.exe
  s1ymlcsvc.exe
  SND1Srvc.exe
  SNDSrvc.exe
  SNDSrvc.exe
  SP1BBCSvc.exe
  SPBBCSvc.exe
  SPBBCSvc.exe
  symlcsvc.exe
  symlcsvc.exe
  Up222Date.exe
  Up2Date.exe
  Up2Date.exe
  ve6tre5dir.dll
  vetredir.dll
  vetredir.dll
  Vs1Stat.exe
  vs6va5ult.dll
  Vshw1in32.exe
  Vshwin32.exe
  Vshwin32.exe
  VsStat.exe
  VsStat.exe
  vsvault.dll
  vsvault.dll
  zatu6tor.exe
  zatutor.exe
  zatutor.exe
  zatutor.exe
  zl5avscan.dll
  zlavscan.dll
  zlavscan.dll
  zlavscan.dll
  zlcli6ent.exe
  zlclient.exe
  zlclient.exe
  zo3nealarm.exe
  zonealarm.exe
  zonealarm.exe
  zonealarm.exe

Intentará descargar y ejecutar otros archivos desde numerosos servidores de Internet.

Este troyano fue detectado proactivamente por la heurística de NOD32, aún antes de ser agregado a su base de datos.

Future Time S.r.l., distribuidor italiano de NOD32, ha publicado una herramienta gratuita para desinfectar ordenadores afectados por este gusano sin necesidad de realizar pasos manuales y que puede ser descargada desde la siguiente dirección:

  http://www.nod32.it/cgi-bin/mapdl.pl?tool=BagleBB

Si desea eliminar manualmente el gusano, lleve a cabo las siguientes instrucciones:

1. Desactive la restauración automática en Windows XP/ME.

2. Reinicie en Modo a prueba de fallos.

3. Ejecute un antivirus actualizado y tome nota de los archivos infectados antes de eliminarlos.

4. Desde Inicio, Ejecutar, escriba REGEDIT y pulse Enter para acceder al Registro del sistema.

5. Elimine bajo la columna "Nombre", la(s) entrada(s) que hagan referencia a alguno de los nombres anotados en el paso 3, en la siguiente clave del registro:

  HKCU\Software\Microsoft
  \Windows\CurrentVersion\Run

  HKLM\SOFTWARE\Microsoft
  \Windows\CurrentVersion\Run

6. Borre la carpeta "FirstRun" en las siguientes claves del registro:

  HKEY_CURRENT_USER\Software\FirstRun

  HKEY_USERS\.DEFAULT\Software\FirstRun

7. Cambie el valor de "Start" por los aquí indicados en las siguientes claves del registro:

  HKLM\SYSTEM\CurrentControlSet\Services\Alerter
  Start = "dword:00000004"

  HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
  Start = "dword:00000002"

  HKLM\SYSTEM\CurrentControlSet\Services\wuauserv
  Start = "dword:00000002"

8. Cierre el editor del registro.

9. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:

  c:\windows\
  c:\windows\system32\drivers\etc\
  c:\winnt\system32\drivers\etc\

10. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".

11. Borre todas las líneas que comiencen con un número, salvo las siguientes:

  127.0.0.1 localhost

12. Acepte guardar los cambios al salir del bloc de notas.

13. Reinicie el equipo y ejecute un antivirus actualizado para eliminar toda presencia del gusano.