Virus Sobig

Efectos:

Sobig se conecta a la ágina www.geocities.com, que contiene un archivo de texto. Dicho archivo contiene la página web pagers.icq.com desde donde Sobig descarga el troyano Bck/Delf.cy al ordenador afectado.

Metodo de infección:

Sobig crea los siguientes archivos:

• WINMGM32.EXE, en el directorio de Windows, que es una copia del gusano.
• SNTMLS.DAT, en el directorio de Windows, que es un archivo temporal que el gusano crea.
• DWN.DAT, en el directorio de Windows, que es un archivo que Sobig utiliza para descargar el troyano.
• MPTASK.EXE, en el directorio de sistema de Windows, que es el troyano que se descarga.

Sobig crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  WindowsMGM = %windir%\ Winmgm32.exe
  donde %windir% es el directorio de Windows.
• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  WindowsMGM = %windir%\ Winmgm32.exe
  Mediante estas entradas, Sobig se asegura de que se ejecutará cada vez que se inicie Windows.

Metodo de propagación:

Sobig utiliza principalmente el correo electrónico para propagarse. Para ello lleva a cabo el siguiente proceso:

• LLega al ordenador en un mensaje de características variables:
  
  Remitente:
  big@boss.com
  
  Asunto: uno de los siguientes:
  Re: Movies
  Re: Sample
  Re: Document
  Re: Here is that sample
  
  Contenido:
  Attached file:
  
  Archivo adjunto: escoge al azar uno de los siguientes:
  MOVIE_0074.MPEG
  DOCUMENT003.PIF
  UNTITLED1.PIF
  SAMPLE.PIF
• El ordenador quedará afectado cuando se ejecute el archivo adjunto.
• Sobig se envía por correo electrónico a las direcciones que encuentra en archivos con las siguientes extensiones: TXT, WAB, HTML, EML, HTM y DBX.

Además del correo, Sobig se propaga a través de unidades de red compartidas, afectando exclusivamente a aquellos ordenadores con el sistema operativo Windows en inglés. Para ello, Sobig intenta copiarse en los siguientes directorios:

• Windows\ AllUsers\ Start Menu\ Progams\ StartUp
• Documents and Settings\ All Users\ Start Menu\ Programs\ Startup
  De esta manera, Sobig se asegura de que será ejecutado cada vez que se inicie Windows.

Otros detalles:

Sobig, está escrito en lenguaje de programación Visual C++, versión 6.0. Este gusano tiene un tamaño de 65536 Bytes y está comprimido con tElock v0.98.