病毒行为：
该病毒是一个后门程序。该病毒将一正常文件放在资源节中，运行时会释放并运行正常文件，以欺骗用户达到隐藏自身的目的。

1、生成的文件
%Program Files%\Internet Explorer\Update.exe（原病毒文件拷贝）
%WINDOWS%\flash.exe（该病毒释放的非病毒可执行文件）

2、添加启动伪系统服务
HKLM\System\CurrentControlSet\Services\DNS Servers
"Type" = "0x110"
HKLM\System\CurrentControlSet\Services\DNS Servers
"Start" = "0x2"
HKLM\System\CurrentControlSet\Services\DNS Servers
"ImagePath" = "%Program Files%\Internet Explorer\Update.exe"
HKLM\System\CurrentControlSet\Services\DNS Servers
"Description" = "为本地连接internet 记录日志或更新Microsoft 相关程序服务"

3、添加TypeLib组件
HKCR\TypeLib\{EF4F0A45-63FA-4544-880B-58B5305EB6FB}\1.0
"(Default)" = "GUISer 1.0 Type Library"
HKCR\TypeLib\{EF4F0A45-63FA-4544-880B-58B5305EB6FB}\1.0\0\win32
"(Default)" = "%Program Files%\Internet Explorer\Update.exe"

4、会下载并执行其他病毒。
http://www.zuyu.net/iis/iis.***

5、添加注册表感染信息
HKLM\Software\Microsoft\Windows\CurrentVersion
"Internet Explorer update" = "WINDOWS"
HKLM\Software\Microsoft\Windows
"YYYY" = "update"

6、将Macromedia Flash Player 8.0 r22正常文件放在类型为exe的资源中。
运行该病毒会打开Macromedia Flash Player 8.0程序