Nombre    :   W32/Mapson.C
Autor     :   Falckon
Origen    :   Mexico
Tamaño    :   176 KB
Binario   :   Binarios\I-Worm.Mapson.C.Zip

Alias     :   W32.Mapson.C@mm 


El W32.Mapson.C es un gusano escrito en Delphi que se envía asi mismo a todos los contactos de la lista the MSN messenger, y se propaga a través de recursos compartidos, KaZaA, eDonkey2000, ICQ Dnucleus, Morpheus, Grokster,. el asunto, cuerpo y adjunto de l mensaje pueden variar además de que las extensiones del archivo adjunto pueden ser .com, .scr, .exe o .pif 

Cuando el gusano es ejecutado realiza los siguiente:

* Se copia a la carpeta %system% tomando los nombre que ha continuación se muestran:
analysis_mzn6.pif
animation-simpsons.scr 
Cards_love.pif 
counsels.pif 
documents.scr 
friends.pif 
hoax-list.com 
IEXPLORER_STACK.pif 
Ivalue-much.pif 
jokess.scr 
Lorena.exe 
love-forever.pif 
my_best_friend.pif 
NSPCLEAN.exe 
OsamaBinLadenJokes.scr 
Photookosmike.scr 
reality_dreams.pif 
real_love.scr 
sexual_steps.pif 
steps.pif

*Se copia a C:\ con el nombre de Mark.vxd

*Agrega el valor "LOAD"="%system%\Lorena.exe" a la llave de registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

Donde %system% equivale a C:\Windows\system para Win 95/98/ Me, C:\Wnnt\System32 para Win NT/2000 ó C:\Windows\System32 para Win XP.

*Después intenta terminar los procesos de algunos antivirus, cortafuegos y herramientas del sistema

*Luego intenta copiarse a carpetas compartidas de la siguiente lista: 
C:\Program Files\KaZaA\My shared Folder
C:\Program Files\KaZaA Lite\my shared folders
C:\Program Files\\edonkey2000\incoming
C:\Program Files\Gnucleus\downloads
C:\Program Files\ICQ\shared files
C:\Program Files\Limewire\shared
C:\Program Files\Morpheus\my shared folder
C:\Program Files\Grokster\My Grokster

Con los siguientes nombres:

Ad-aware .exe
Adobe Acrobat Reader (32-bit)
AOL Instant Messenger (AIM).exe
Biromsoft WebCam .exe
crack all versions
cracked
Copernic Agent .exe
Delphi 6
Diet Kaza .exe
DirectDVD .exe
Download Accelerator Plus.exe
Fireworks 4
Fireworks MX
Global DiVX Player .exe
Grokster.exe
ICQ Lite .exe
ICQ Pro 2003a beta .exe
iMesh .exe
Kaspersky Antivirus Crack.exe
Kazaa 2.05 beta .exe
Kazaa Download Accelerator .exe
Kazaa Media Desktop .exe
Mcafee antivirus
Microsoft Internet Explorer .exe
Microsoft Office XP Serial.exe
Microsoft Windows 2003 Serial.txt .exe
Microsoft Windows Media Player .exe
Morpheus .exe
Msn Hack.exe
Nero Burning ROM .exe
Network Cable e ADSL Speed .exe
NOD32 Antivirus Crack.exe
Norton Antivirus Crack.exe
Office 2003 Serial.exe
PerAntivirus Crack.exe
Pop-Up Stopper .exe
QuickTime .exe
Registry Mechanic.exe
Shakira Sucks.jpg.exe
SnagIt .exe
Sofía Vergara Sexy Bikini.exe
Spybot - Search & Destroy .exe
StarCraft No CD Crack.exe
Trillian .exe
Visual Studio Net Serial.exe
Winamp.exe
WinMX .exe
WinZip.exe
WS_FTP LE (32-bit) .exe
XoloX Ultra .exe
ZoneAlarm Full Version.exe


*Se envía a si mismo a las direcciones de correo que encuentre en la libreta de Contacto de MSN Messenger en mensajes con asunto, cuerpo de mensaje y archivo adjunto que pueden variar, además de esto puede cambiar el remitente del correo para engañar al destinatario tomando unas direcciones de correo fijas como las que a continuación se describen y otras de la misma libreta de direcciones :

Amor@teamo.com 
Anti-Spam@campaña.com 
bigbrother@bigbrother.tv 
cristina_aguilera@cristina-aguilera.com 
hacker@hotmail.com 
lacosha@hotmail.com 
Latincards@latincards.com 
lorena@hotmail.com 
Maria_fernanda@mfernanda.com 
notice@madonna.com 
support@passport.com 
support@hotmail.com 
test@hispasec.com 
Webmaster@vsantiviru.com 
Webmaster@zonaviru.com 

El cuerpo del mensaje puede variar.

El archivo adjunto puede ser tomado de la siguiente lista:
NSPCLEAN.exe 
bromas.scr 
pasos.pif 
IEXPLORERSTACK.pif 
amor_real.pif 
fotokosmiko.scr 
hoax-list.com 
OsamaBinLadenJokes.scr 
Cards.exe 
carta_de_amor.exe 
consejos-noviazgo.exe 
Anti-Worm.exe 
animation-simpsons.scr 
realidades.pif 
porque-lo-quiero.pif 
documents.scr 
loValoroMucho.scr 
amor-eterno.pif 
amigos-por-siempre.exe 
NSPCLEAN.exe 
jokess.scr 
steps.pif 
IEXPLORER_STACK.pif 
real_love.scr 
Photookosmike.scr 
hoax-list.com 
OsamaBinLadenJokes.scr 
Cards_love.pif 
sexual_steps.pif 
counsels.pif 
analysis_mzn6.pif 
animation-simpsons.scr 
reality_dreams.pif 
my_best_friend.pif 
friends.pif 
documents.scr 
Ivalue-much.pif 
love-forever.pif 

*SI la fecha actual corresponde al día 4 de cualquier mes, el gusano creará un archivo en C:\ llamado lorraine.c.hta y descarga un archivo .html desde el sitio web http://www.gratisweb.com

*Si el mes corresponde con el mes de Octubre, el gusano desplegará mensajes con las siguientes características:

Title: W32/Lorraine.c [GEDZAC LABS 2003]
Message: Bi0C0ded by Falckon/GEDZA

Title: W32/Lorraine.c [GEDZAC LABS 2003]
Message: Lorraine ReC0deD and Reloaded :P