C:\Windows\wrpen32.exe
C:\Windows\winges32.exe
C:\Windows\System\winr32.exe

%Windows% y %System% corresponde a C:\Windows y C:\Windows\System respectivamente en una configuración por defecto.

También se crean las siguientes entradas en el registro de Windows:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Init Scan = C:\Windows\wrpen32.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Respaldo del Sistema = C:\Windows\System\winr32.exe

Además, modifica el archivo WIN.INI de Windows, en la sección [windows], Load=:

[Windows]
load=C:\Windows\System\winr32.exe

Las modificaciones ya vistas, en el registro y en el archivo WIN.INI, hacen que el gusano se cargue en memoria cada vez que Windows es reiniciado.

Una vez activo en memoria, el gusano intentará copiarse en disquetes, siempre que se tenga uno en la disquetera, y el mismo no esté protegido contra escritura. Este proceso se reitera cada 10 minutos aproximadamente.

Otra de las rutinas maliciosas del gusano, es la de enviarse a si mismo vía correo electrónico. Pero esto ya no funciona al menos en esta versión del gusano. Esto se debe a que el virus utilizaba para auto enviarse un servidor SMTP público, el cuál ha sido reconfigurado y ya no acepta el reenvío en forma pública.

Cómo borrar manualmente el gusano

Para borrar manualmente el gusano, reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

VSantivirus No. 499 - 19/nov/01
Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

Luego, siga estos pasos:

1. Ejecute un antivirus actualizado, y con el Explorador de Windows, busque y borre los siguientes archivos:

C:\Windows\wrpen32.exe
C:\Windows\winges32.exe
C:\Windows\System\winr32.exe

2. En todos sus disquetes, busque y borre este archivo:

A:\LISTASFG.EXE

3. Seleccione Inicio, Ejecutar, teclee REGEDIT y pulse Enter

4. En el panel izquierdo del editor de registro de Windows, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run

5. Pinche sobre la carpeta "Run". En el panel de la derecha pinche sobre la entrada que coincida con los siguientes datos:

Init Scan C:\Windows\wrpen32.exe
Respaldo del Sistema C:\Windows\System\winr32.exe

Pulse en cada una de estas entradas, la tecla SUPR o DEL. Conteste afirmativamente la pregunta de si desea borrar cada una de esas claves.

8. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

9. Desde Inicio, Ejecutar, teclee WIN.INI y pulse Enter.

10. Si existe alguna referencia a los archivos del gusano en la línea "load=" bajo la sección [windows], bórrela.

Por ejemplo:

[Windows]
load=C:\Windows\System\winr32.exe

Debe quedar como:

[Windows]
load=

11. Grabe los cambios y salga del bloc de notas.

12. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Notas

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm


(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com