Virus
Sobig
Sobig est un virus qui se propage par email et via les dossiers partagés. Il se présente sous la forme d´un message dont le titre et le nom du fichier joint sont aléatoires, et dont l´adresse d´expéditeur est en général big@boss.com. Si le fichier joint est exécuté, le virus s´envoie automatiquement à toutes les adresses email collectées sur le disque dur puis tente d´installer un troyen.
PREVENTION :
Les utilisateurs concernés doivent mettre à jour leur antivirus. D´une manière générale, même si son nom est attrayant il ne faut pas exécuter un fichier joint sans l´avoir au préalable analysé avec un antivirus à jour.
DESINFECTION :
Avant de commencer la désinfection, il est impératif de s´assurer avoir appliqué les mesures préventives ci-dessus afin d´empêcher toute réinfection de l´ordinateur par le virus. Les utilisateurs ne disposant pas d´un antivirus peuvent utiliser gratuitement l´utilitaire de désinfection FixSobig pour rechercher et éliminer le virus.
TYPE :
Ver
SYSTEME(S) CONCERNE(S) :
Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
ALIAS :
Win32.Sobig ( CA)
I-Worm.Sobig ( KAV)
W32/Sobig@MM ( Mc Afee)
W32/Sobig ( Panda)
W32/Sobig-A ( Sophos)
W32.Sobig.A@mm ( Symantec)
WORM_SOBIG.A ( Trend)
TAILLE :
65.536 octets
DECOUVERTE :
09/01/2003
DESCRIPTION DETAILLEE :
Le virus se présente sous la forme d´un message dont le titre et le nom du fichier joint sont variables. Le titre du message est au choix :
Re: Movies
Re: Sample
Re: Document
Re: Here is that sample
L´expéditeur des messages est big@boss.com. La pièce jointe a une extension en . PIF et son nom évoque un fichier multimédia :
Movie_0074.mpeg.pif
Document003.pif
Untitled1.pif
Sample.pif
Si le fichier joint est exécuté, le virus se copie dans le répertoire Windows sous le nom WINMGM32.EXE, modifie la base de registres pour s´exécuter automatiquement au prochain démarrage, puis extrait ensuite les adresses emails contenues dans les fichiers . TXT, . HTM, . HTML, . EML, . WAB et . DBX pour s´y envoyer automatiquement.
Sobig tente enfin de télécharger et d´installer un cheval de Troie depuis un site web hébergé chez Geocities, permettant à une personne malveillante de prendre le contrôle de l´ordinateur infecté.
