La primera variante del gusano contenía una lista de direcciones IP de un total de 20 servidores de modo que, en un tiempo predeterminado, el virus podría atacar al descargarse y ejecutar el archivo malicioso. La nueva variante de Sobig.F contiene la lista de 7 servidores operados por Time Warner.


Se trata de dos servidores SMTP que el virus emplea para enviar copias de sí mismo en correos electrónicos infectados. El virus además intenta contactar con los restantes cinco servidores a través del puerto 8998 para preguntar por la URL de un archivo para descargar el virus y ejecutarlo posteriormente. Cuando el virus intenta acceder a los servidores por dicho puerto, éstos no responden porque el puerto fue cerrado, aunque esto también podría significar que –desde ahora y en algunos momentos- el puerto se puede encontrar abierto.