Nombre    :   I-Worm.Lorena
Autor     :   Falckon
Origen    :   Mexico
Tamaño    :   14.9 KB
Binario   :   Binarios\I-Worm.Lorena.b.Zip

Alias     :   VBS/Renalo@MM, I-Worm.Lorena

Este gusano, escrito en Visual Basic Script, requiere la presencia del Windows Scripting Host (WSH) para ejecutarse. Por defecto, WSH se encuentra instalado en Windows 98, Me y XP. Se propaga a través de utilidades Peer-To-Peer como KaZaa, eDonkey2000, Bearshare, Grokster, Morpheus, y también ICQ. También se propaga a través del IRC. Intenta propagarse vía correo electrónico.

Cuando se ejecuta por primera vez, muestra una ventana con el siguiente mensaje: 

I love you
I Love You Lorena!!!!!!!
[    Aceptar    ] 

El gusano envía mensajes a toda la libreta de direcciones de Windows. Los asuntos son seleccionados al azar de la siguiente lista: 

Exciting Photos
Photos XXX
Re:
Sensual photos 

El cuerpo del mensaje puede contener uno de estos textos: 

check my exciting photos
hi check these super photos
look these exciting photos
Please check my photos in beach
Sensual photos single for you 

El propio gusano se agrega como adjunto a estos mensajes.

El gusano crea la siguiente entrada en el registro, para autoejecutarse en cada reinicio de Windows: 

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
System = C:\Windows\System\[nombre del gusano].jpeg.vbs

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Winft = C:\WinNT\[nombre del gusano].jpeg.vbs 

En Windows 95 y 98, también modifica el AUTOEXEC.BAT para ejecutarse en el inicio.

El gusano crea o modifica la clave que permite compartir archivos con el programa KaZaa, y también cambia el papel tapiz del escritorio, por una versión en HTML de él mismo: 

C:\Wallpaper.htm 

También examina en las unidades de disco locales en busca de carpetas utilizadas por conocidas utilidades de intercambio de archivos, Peer-To-Peer (P2P), y se copia en ellas: 

\KaZaA\My Shared Folder\
\ICQ\shared files\
\eDonkey2000\incoming\
\bearshare\shared\
\Grokster\My Grokster\
\Morpheus\My Shared Folder\ 

El nombre del archivo es seleccionado al azar de una lista de 73 nombres, todos con doble extensión .JPG.VBS.

Si el mIRC, el cliente de IRC, está instalado en la computadora infectada, el gusano crea un archivo SCRIPT.INI con las instrucciones para enviarse él mismo a través de los canales de chat.

También busca los directorios de ciertos productos antivirus, y borra todos sus archivos.

El gusano se copia a si mismo en todas las subcarpetas de las unidades de disco locales, con el siguiente nombre: 

\Lorena-te-amo.vbs