Zafi.D on pärit Ungarist ja kuigi algne viirus Zafi.A oli vaid ungarikeelne, on D-versioon inglise, itaalia, hispaania, vene, rootsi ja mitmes teises keeles.
Uss saadab end edasi, soovides „subject”-real inimestele häid jõule, temaga on kaasas .pif, .cmd, .bat, .com või .zip laiendiga fail.
Kui viirusefail käivitatakse, kopeerib see end suvalise .dll-failina ja „Norton Update.exe” nimelise failina Windowsi süsteemikataloogi. Samuti kirjutab ta registrisse rea:
[HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
"Wxp4" = "%System%Norton Update.exe"
Süsteemikataloogi luuakse veel mitmeid suvaliste nimedega .dll faile, kus viirus peidab enda sisemisi andmeid.
Zafi.D vaatab aadressiraamatusse ning teistesse failidesse ja otsib sealt üles e-maili aadressid. Sisseehitatud SMTP-mootorit kasutades saadab ta end laiali mitmetes keeltes, tuvastades ise SMTP-releede abil, mis keeles end saata.
Kindlasti peaksid kõik Windowsi-kasutajad uuendama viirusetõrjetarkvara kirjeldusi ning mitte avama kirjade lisandeid, isegi kui need on saabunud tuttavatelt inimestelt.