O trojan está no falso “Setup.exe”, que é executado para iniciar a instalação a partir do próprio Windows. Quando iniciado, ele extrai dois arquivos: o Setup.exe (original, assinado digitalmente pela Microsoft) e codec.exe, com o código malicioso. Assim ele infecta o sistema atual e executa o aplicativo original, ou seja, aparentemente acima de qualquer suspeita para a maioria dos usuários.
A Microsoft recentemente já havia alertado sobre esse risco. Entretanto muitos usuários ignoraram, afirmando sempre ter usado builds vazadas do Windows 7 sem problema algum. Pois é, sempre existe uma primeira vez. E essa pode ter sido a sua!