El nuevo gusano Win32.Sobig.F@mm está causando grandes infecciones en los ordenadores conectados a Internet.

Esta herramienta gratuita elimina los gusanos Sobig desde la A a la F.

El gusano Sobig.F llega en mensajes de correo con el siguiente formato:

Asunto:
Elegido al azar de la siguiente lista:
"Re: That movie"
"Re: Wicked screensaver"
"Re: Your application"
"Re: Approved"
"Re: Re: My details"
"Re: Details"
"Your details"
"Thank you!"
"Re: Thank you!"

Cuerpo del mensaje:

Please see the attached file for details.
o
See the attached file for details

Adjunto:
Elegido al azar de la siguiente lista:
"movie0045.pif"
"wicked_scr.scr"
"application.pif"
"document_9446.pif"
"details.pif"
"your_details.pif"
"thank_you.pif"
"document_all.pif"
"your_document.pif

Después de ejecutar el adjunto, el virus se copia a sí mismo en la siguiente ubicación:

%WINDIR%\winppr32.exe
y añade las siguientes claves del registro:
HKLM\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con el valor:
%WINDIR%\winppr32.exe
HKCU\Software\Microsoft\Windows\Run\CurrentVersion\TrayX with value:
%WINDIR%\winppr32.exe

El gusano busca direcciones de correo en los ficheros con las siguientes extensiones:
html, wab, mht, hlp, txt, eml, htm, dbx

Se propaga también por los recursos compartidos en la red.

Cesa la propagación después del 10.09.2003.

Detalles del virus:
Nombre: Win32.Sobig.F@mm
Alias: W32/Sobig.F@mm
Tipo: Mensajero Masivo Ejecutable
Tamaño: ~70 KB
Descubierto: 19.08.2002
Detectado: 12:00 (GMT+1)
Propagación: Alta
Daño: Bajo
ITW: Sí

Síntomas:
Las claves del registro:
HKLM\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con el valor:
%WINDIR%\winppr32.exe
HKLM\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con el valor:
%WINDIR%\winppr32.exe /sinc

Los siguientes ficheros en la carpeta %WINDIR%:

Winppr32.exe
Winstt32.dat
Winstf32.dll