Sobig
PeligrosidadDañoPropagación

Efectos 

Sobig se conecta a la ágina www.geocities.com, que contiene un archivo de texto. Dicho archivo contiene la página web pagers.icq.com desde donde Sobig descarga el troyano Bck/Delf.cy al ordenador afectado.

Metodo de Infección 

Sobig crea los siguientes archivos:

• WINMGM32.EXE, en el directorio de Windows, que es una copia del gusano.
• SNTMLS.DAT, en el directorio de Windows, que es un archivo temporal que el gusano crea.
• DWN.DAT, en el directorio de Windows, que es un archivo que Sobig utiliza para descargar el troyano.
• MPTASK.EXE, en el directorio de sistema de Windows, que es el troyano que se descarga.

Sobig crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  WindowsMGM = %windir%\ Winmgm32.exe
  donde %windir% es el directorio de Windows.
• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  WindowsMGM = %windir%\ Winmgm32.exe
  Mediante estas entradas, Sobig se asegura de que se ejecutará cada vez que se inicie Windows.

Método de Propagación 

Sobig utiliza principalmente el correo electrónico para propagarse. Para ello lleva a cabo el siguiente proceso:

• LLega al ordenador en un mensaje de características variables:
  
  Remitente:
  big@boss.com
  
  Asunto: uno de los siguientes:
  Re: Movies
  Re: Sample
  Re: Document
  Re: Here is that sample
  
  Contenido:
  Attached file:
  
  Archivo adjunto: escoge al azar uno de los siguientes:
  MOVIE_0074.MPEG
  DOCUMENT003.PIF
  UNTITLED1.PIF
  SAMPLE.PIF
• El ordenador quedará afectado cuando se ejecute el archivo adjunto.
• Sobig se envía por correo electrónico a las direcciones que encuentra en archivos con las siguientes extensiones: TXT, WAB, HTML, EML, HTM y DBX.

Además del correo, Sobig se propaga a través de unidades de red compartidas, afectando exclusivamente a aquellos ordenadores con el sistema operativo Windows en inglés. Para ello, Sobig intenta copiarse en los siguientes directorios:

• Windows\ AllUsers\ Start Menu\ Progams\ StartUp
• Documents and Settings\ All Users\ Start Menu\ Programs\ Startup
  De esta manera, Sobig se asegura de que será ejecutado cada vez que se inicie Windows.

Otros Detalles  

Sobig, está escrito en lenguaje de programación Visual C++, versión 6.0. Este gusano tiene un tamaño de 65536 Bytes y está comprimido con tElock v0.98.