Nombre    :   I-Worm.Lorena
Autor     :   Falckon
Origen    :   Mexico
Tamao    :   14.9 KB
Binario   :   Binarios\I-Worm.Lorena.b.Zip

Alias     :   VBS/Renalo@MM, I-Worm.Lorena

Este gusano, escrito en Visual Basic Script, requiere la presencia del Windows Scripting Host (WSH) para ejecutarse. Por defecto, WSH se encuentra instalado en Windows 98, Me y XP. Se propaga a travs de utilidades Peer-To-Peer como KaZaa, eDonkey2000, Bearshare, Grokster, Morpheus, y tambin ICQ. Tambin se propaga a travs del IRC. Intenta propagarse va correo electrnico.

Cuando se ejecuta por primera vez, muestra una ventana con el siguiente mensaje: 

I love you
I Love You Lorena!!!!!!!
[    Aceptar    ] 

El gusano enva mensajes a toda la libreta de direcciones de Windows. Los asuntos son seleccionados al azar de la siguiente lista: 

Exciting Photos
Photos XXX
Re:
Sensual photos 

El cuerpo del mensaje puede contener uno de estos textos: 

check my exciting photos
hi check these super photos
look these exciting photos
Please check my photos in beach
Sensual photos single for you 

El propio gusano se agrega como adjunto a estos mensajes.

El gusano crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio de Windows: 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
System = C:\Windows\System\[nombre del gusano].jpeg.vbs

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Winft = C:\WinNT\[nombre del gusano].jpeg.vbs 

En Windows 95 y 98, tambin modifica el AUTOEXEC.BAT para ejecutarse en el inicio.

El gusano crea o modifica la clave que permite compartir archivos con el programa KaZaa, y tambin cambia el papel tapiz del escritorio, por una versin en HTML de l mismo: 

C:\Wallpaper.htm 

Tambin examina en las unidades de disco locales en busca de carpetas utilizadas por conocidas utilidades de intercambio de archivos, Peer-To-Peer (P2P), y se copia en ellas: 

\KaZaA\My Shared Folder\
\ICQ\shared files\
\eDonkey2000\incoming\
\bearshare\shared\
\Grokster\My Grokster\
\Morpheus\My Shared Folder\ 

El nombre del archivo es seleccionado al azar de una lista de 73 nombres, todos con doble extensin .JPG.VBS.

Si el mIRC, el cliente de IRC, est instalado en la computadora infectada, el gusano crea un archivo SCRIPT.INI con las instrucciones para enviarse l mismo a travs de los canales de chat.

Tambin busca los directorios de ciertos productos antivirus, y borra todos sus archivos.

El gusano se copia a si mismo en todas las subcarpetas de las unidades de disco locales, con el siguiente nombre: 

\Lorena-te-amo.vbs 
