Dwa najważniejsze skrypty kontroli umieszczane na serwerze to in.php (obsługuje logowanie do panelu administracyjnego zarządzającego botnetem, gdzie można wydawać komendy, pobierać statystyki, a nawet niszczyć zarażone systemy operacyjne) oraz s.php (jest to główny skrypt komunikacji z botnetem, przez niego przechodzi cała komunikacja z klientami wysyłana przez POST, wyniki są deszyfrowane i zapisywane do bazy MySQL lub składane w osobnym katalogu). Należy pamiętać, że domyślne nazwy skryptów kontrolujących botnet nie są nigdzie wpisane na stałe, są określone w konfiguracji, którą każdy z botów pobiera z serwera co pewien czas. Warto jednak monitorować odpytywane adresy URL pod kątem wyrażeń in.php i s.php, by zwiększyć prawdopodobieństwo wykrycia infekcji typową instalacją ZeuSa. Jak widać na stronach śledzących serwery ZeuSa, w Internecie pracuje wiele instalacji na domyślnych ustawieniach.