De: "BIGBROTHER TVN POLSKA" bigbrother@bigbrother.tvn.com.pl
Asunto: BIGBROTHER SHOW !
Texto:
Teraz mozesz ogladac BIGBROTHER SHOW za pomoca komputera! Jak to zrobic? Wystarczy ze uruchomisz specjalny program (BIGBROTHER_LIVE_CAMERA.EXE) , ktory zostal dolaczony do  wiadomosci.
Ponadto za pomoca tego narzedzia mozesz nominowac wybrane  przez ciebie osoby, do opuszczenia domu Wielkiego Brata. Co  miesiac rozlosowane beda nagrody (telewizory, wieze stereo, komputery ...i wiele ,wiele innych). Prosimy przysylac opinie i komentarze na temat programu.

Zyczymy milej zabawy:
Redakcja programu.

Archivo adjunto: BigBrother_Live_Camera.exe

Cuando el usuario abre el adjunto (doble clic sobre él), el virus se copia a si mismo en esta ubicación:

C:\WINDOWS\SYSTEM\b1g_brother.exe

También agrega la siguiente línea al archivo C:\WINDOWS\WIN.INI:

[windows]
run=c:\Windows\System\b1g_brother.exe

Después, examina si la computadora está conectada a Internet, y si lo está, se envía a si mismo en un mensaje con las mismas características del recibido antes. Esto también lo hace en cada reinicio de Windows debido a los cambios hechos en WIN.INI.

Para conseguir las direcciones de envío, el gusano examina todo el disco duro en busca de archivos HTML, busca dentro de ellos las etiquetas "mailto:" que preceden a una dirección de correo, y entonces se envía a dichas direcciones.

Cuando se ejecuta b1g_brother.exe en forma directa, el virus muestra este mensaje de error:

Setup

Segmentation fault.
Please REPORT this BUG.

[   Aceptar   ]

Si la fecha es 13 de mayo, el gusano despliega este mensaje:

You like to think youÆre never wrong You want to act like youÆre someone You want someone to hurt like you You want to share what youÆve been through You live what you learn... Today you know the truth: i-worm.BigBrother Now  contact with yourz AV expert. Future , Don't trust anyone ... [YuP/0ne Earth]
payyes

Para quitar el virus de un sistema infectado, borre el archivo "c:\Windows\System\b1g_brother.exe" y modifique el archivo "WIN.INI", borrando lo que está después del "run=" en la etiqueta "[windows]".

Fuente: Central Command