Lentin.E

Lentin.E produce los siguientes efectos:

• Lentin.E se activa cada vez que se ejecute un fichero con extensión EXE.
• Finaliza numerosos procesos en los ordenadores afectados en el caso de que éstos se encuentren activos en el ordenador afectado. Estos procesos corresponden a programas antivirus y firewalls, entre otros, y son los siguientes:

  PCCIOMON, PCCMAIN, POP3TRAP, WEBTRAP, AVCONSOL, AVSYNMGR, VSHWIN32, VSSTAT, NAVAPW32, NAVW32, NMAIN, LUALL, LUCOMSERVER, IAMAPP, ATRACK, NISSERV, RESCUE32, SYMPROXYSVC, NISUM, NAVAPSVC, NAVLU32, NAVRUNR, NAVWNT, PVIEW95, F-STOPW, F-PROT95, PCCWIN98, IOMON98, FP-WIN, NVC95, NORTON, MCAFEE, ANTIVIR, WEBSCANX, SAFEWEB, ICMON, CFINET, CFINET32, AVP.EXE, LOCKDOWN2000, AVP32, ZONEALARM, WINK, SIRC32, SCAM32.

Lentin.E crea los siguientes ficheros:

• XXXX.TXT es un fichero de texto con nombre aleatorio de cuatro caracteres, que se crea en el directorio de Windows. El contenido de este fichero es el siguiente:
  <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>> <<<>>>
  iNDian sNakes pResents yAha.E
  iNDian hACkers,Vxers c0me & w0Rk wITh uS & fUCk tHE GFORCE-pAK shites
  bY
  sNAkeeYes,c0Bra
  <<<>>> <<<>>> <<<>>> <<<>>> <<<>>><<<>>> <<<>>> <<<>>> <<<>>> <<<>>>
• KITKAT es un fichero en formato MIME que se crea en el directorio temporal de Windows.
• %XXXX%.EXE contiene el código del gusano, y se puede crear en uno de los siguientes directorios, dependiendo de la configuración del sistema afectado: RECYCLER, RECYCLED, o en el directorio de Windows.
• %xxxx%% xxxx %.dl se crea en el directorio de Windows. Lentin.E lo utiliza para almacenar direcciones de correo a las que enviarse. Estas direcciones las obtiene tanto de la Libreta de direcciones de Windows, como de las de las siguientes aplicaciones: Microsoft Messenger, Yahoo Pager e ICQ.

Lentin.E modifica la siguiente entrada del Registro de Windows:

• HKEY_CLASSES_ROOT\ exefile\ shell\ open\ command
  (Predeterminado) = "%1" %*
  Sin embargo, Lentin.E lo modifica pudiendo asignar tres valores diferentes en función de la configuración del sistema:
  (Predeterminado) = %Recycled%\%xxxx% "%1" %*
  (Predeterminado) = %Recycler%\%xxxx% "%1" %*
  (Predeterminado) = %windir%\%xxxx% "%1" %*
  donde %windir% es el directorio de Windows.
  Con esta modificación, Lentin.E consigue ejecutarse cada vez que se ejecute un fichero con extensión EXE en el ordenador afectado.

Lentin.E utiliza principalmente el correo electrónico para propagarse a otros ordenadores. Para ello, actúa del siguiente modo:

• Lentin.E llega oculto en un mensaje con asunto y texto variables.
  Fichero adjunto: Puede tener uno de los siguientes nombres:
  LOVELETTER
  RESUME
  BIODATA
  DAILYREPORT
  MOUNTAN
  GOLDFISH
  WEEKLYREPORT
  REPORT
  LOVE
  El fichero adjunto presenta dos extensiones. La primera de éstas puede ser una de las siguientes: MP3, XLS, WAV, TXT, JPG, GIF, DAT, BMP, HTM, MPG o MDB, mientras que la segunda será COM, PIF o BAT.

• Lentin.E se activa al ver el contenido del mensaje a través de la Vista previa de Outlook, o bien al abrirlo. Esto será así en los ordenadores donde se encuentren versiones no actualizadas de Internet Explorer. En el resto de ordenadores, Lentin.E se activará al ejecutar el fichero adjunto al mensaje.
• Lentin.E se reenvía por sí solo a los contactos almacenados en la Libreta de direcciones de Outlook.

Lentin.E falsifica la dirección que aparece como remitente del mensaje de correo que provoca la infección. Esto puede dar lugar a confusiones. Si desea más información al respecto, pulse aquí.

Lentin.E está escrito en el lenguaje de programación Visual C++. Este gusano tiene un tamaño aproximado de 28 Kbytes.