W32.Sobig.F@mm es un gusano que se propaga por medio del envío masivo de correos electrónicos, y también se propaga a través de los recursos compartidos de red que encuentra en los archivo con las siguientes extensiones:

.dbx
.eml
.hlp
.htm
.html
.mht
.wab
.txt

El gusano utiliza su propio servidor SMTP para propagarse e intentará crear una copia de si mismo en los recursos compartidos de la red.

Detalles de la rutina de correo electrónico:
El mensaje de correo electrónico tiene las siguientes características:

De: Dirección falsificada (Lo que significa que el nombre de quien envía el correo en el campo "De:" seguramente no será real.)
El gusano puede usar la dirección admin@internet.com como la dirección de quien envía.

NOTAS:
Las direcciones falsificadas y el envío de correos a las direcciones son tomadas de los archivos encontrados en la computadora. También el gusano puede utilizar la configuración de la computadora infectada para saber si hay un servidor de SMTP para contactarlo.

La opción del dominio de internet.com parece ser arbitraria y no tiene ninguna conexión al dominio real o a su compañia de procedencia.

Asunto:
Re: Details
Re: Approved
Re: Re: My details
Re: Thank you!
Re: That movie
Re: Wicked screensaver
Re: Your application
Thank you!
Your details

Cuerpo del mensaje:
See the attached file for details
Please see the attached file for details.

Archivo adjunto:
your_document.pif
document_all.pif
thank_you.pif
your_details.pif
details.pif
document_9446.pif
application.pif
wicked_scr.scr
movie0045.pif

NOTA:
El gusano se desactiva el 10 de septiembre del 2003. El último día en el cual el gusano se dispersará es el 9 de septiembre del 2003.
W32.Sobig.F@mm utiliza la técnica conocida como "correo falsificado" (email spoofing), con la cual, el gusano selecciona en forma aleatoria una dirección de correo de un equipo infectado.

Symantec Security Response ha elaborado una herramienta de eliminación de W32.Sobig.F@mm, el uso de esta herramienta es la forma más sencilla de eliminar esta amenaza.

También conocido como: Sobig.F [F-Secure], W32/Sobig.f@MM [McAfee], WORM SOBIG.F [Trend], W32/Sobig-F [Sophos], Win32.Sobig.F [CA], I-Worm.Sobig.f [KAV]

Tipo: Worm
Longitud de la infección: about 72,000 bytes


Sistemas afectados: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
Sistemas no afectados: Linux, Macintosh, OS/2, UNIX, Windows 3.x

fuente: http://www.symantec.com/region/mx/