El gusano desembarca en cada equipo a través de un correo electrónico desde
big@boss.com e incorpora un archivo ejecutable con nombres como Sample.pif, untitled.pif y movie_0074.mpeg.pif.
Cuando el gusano es abierto, lo primero que hace es instalar una copia del virus en Windows, modificando el registro de entrada de Windows de modo que cada vez que se reinicia el gusano se activa.
Una vez que la máquina se ha infectado utiliza la libreta de direcciones para enviar copias de sí mismo así como depositar copias en aquellos lugares a los que pueda tener acceso.
Aunque el gusano, en un principio, no es muy peligroso al no robar información sensible de las computadoras infectadas, diversos fabricantes de antivirus han asegurado que el gusano se conecta a un sitio web hospedado por Geocities y desde el cual intenta descargar otros ejecutables. La página de Geocities utilizada por Sobig fue modificada recientemente para ordenar la descarga de un programa de troyanos conocido como backdoor.delf.
Sobig se diferencia frente a otros virus en que el remitente es siempre el mismo
(big@boss.com) y el número de asuntos de mensaje no es muy variado.
