Virus Sobig.C

Efectos:

Sobig.C no produce ningún efecto destructivo. Se limita a propagarse por correo electrónico o unidades de red al mayor número posible de ordenadores. Para propagarse por correo electrónico envía copias de sí mismo a todas las direcciones de correo que encuentra en todos los ficheros del sistema con alguna de las siguientes extensiones: TXT, EML, HTM, HTML, DBX  o WAB.

Metodo de infección:

Sobig.C crea los siguientes ficheros en el directorio de Windows:

• MSCVB32.EXE, es una copia del gusano.
• MSDDR.DAT.

Sobig.C crea las siguientes entradas en el Registro de Windows:

• HKCU\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  System MScvb = %windir%\ mscvb32.exe
• HKLM\ Software\Software\ Microsoft\ Windows\ CurrentVersion\ Run
  System MScvb = %windir%\ mscvb32.exe
  Al hacerlo, consigue ejecutarse cada vez que se inicia el sistema.

Metodo de propagación:

Sobig.C se propaga a través del correo electrónico y a través de redes.

1-Propagación a través del correo electrónico:

Para propagarse, Sobig.C sigue el siguiente proceso:

• Busca direcciones de correo a todos los ficheros que encuentre con una de las siguientes extensiones:
  TXT, ficheros de texto.
  EML, mensajes de Outlook.
  HTM*, páginas web.
  DBX, mensajes de correo seguros.
  WAB, Libreta de direcciones de Windows.

• A todas estas direcciones, les envía un correo electrónico con las siguientes características:
  Remitente: Sobig.C falsifica esta dirección, lo que puede dar lugar a muchas confusiones. Si quiere saber más al respecto, pulse aquí.
  Asunto: Será uno de los siguientes:
  Re: 45443-343556
  Re: Approved
  Approved
  Re: Movie
  Re: Your application
  Re: Application
  Re: Submited (004756-3463)
  Contenido del mensaje:
  Please see the attached file
  Fichero adjunto: Será uno de los siguientes:
  

• 45443.PIF
  APPROVED.PIF
  APPLICATION.PIF
  DOCUMENT.PIF
  DOCUMENTS.PIF
  MOVIE.PIF
  SCREENSAVER.SCR
  SUBMITED.PIF

2- Propagación a través de redes.

Una vez afectado el equipo, Sobig.C comprueba si está conectado a una red. En caso de que sí lo esté, Sobig.C se copia en los siguientes directorios de equipos de esos otros ordenadores:

• \Windows\ All Users\ Start Menu\ Programs\ StartUp\
• \Documents and Settings\ All Users\ Start Menu\ Programs\ Startup\

Ambos son los directorios de inicio de Windows. Por lo tanto, cuando Sobig.C se ha copiado en esos directorios, el ordenador ejecutará el gusano en la siguiente ocasión en la que se inicie el sistema.

Otros detalles:

El fichero que provoca la infección está escrito en lenguaje de programación Visual C++.

Este fichero tiene un tamaño de 59211 Bytes cuando está comprimido con UPX.