---

Geschrieben von MobyDuck am 19.04.2005 um 11:47:

  [Uodate] W32/Sober-M

Bin eigentlich nicht dafür, jeder neuen Wurmvariante einen Thread zu widmen, aber Sober-M ist mir doch ne Anmerkung wert:

Laut Heise und Golem verbreitet sich der Wurm z. Zt. rasend schnell in Deutschlandl, ebenso wie frühere Sober-Varianten mit deutschem Text. Offenbar meinen viele User, Würmer könnten nur englisch, jedenfalls ist bei deutschen Texten wohl die Hemmschwellle, "klick" zu machen, besonders niedrig.

Beschreibungen finden sich bei Heise a.a.O. und auf den üblichen Seiten, z.B. hier

(üblicher Mailing-Wurm mit eigenem Mailserver, wohl ohne weitere Schadfunktion)

Es sollen Varianten mit anderen Texten aufgetaucht sein, so soll sich die Wurm-Mail auch als Win-Update ausgeben. Mal wieder.

Update

Die nächsten Sober-Varianten sind seit gestern da. Tarnen sich unter anderem als Benachrichtigung zur WM-Ticker-Auslosung.

http://www.heise.de/security/news/meldung/59225

---

Geschrieben von speed-x am 19.04.2005 um 12:02:

  Outbreak: Sober.n - Ich bin's nochmal

Eine neue Variante des Sober-Wurms verbreitet sich in deutschsprachigen Mails mit dem Betreff ´Ich bin's nochmal´ und dem Anhang ´Private-Texte.zip´. AVK erkennt den Wurm. Bitte aktualisieren Sie die Virensignaturen.
Die Sober-Familie hat Zuwachs bekommen: Sober.n (auch Sober.m) verbreitet sich in Emails an Domains, die auf .de, .at oder .ch enden, mit dem Betreff 'Ich bin's nochmal'. Der Text lautet:

> Verdammt,,,,
> ich hatte vergessen Dir meinen Text mitzuschicken.
>
> Aber bitte nicht woanders darueber Reden, ich wuerde mich dann zu Tode blamieren!
>
> Ich melde mich.
> Bis bald

Diese Nachricht weckt selbstverständlich die Neugier und es fällt schwer, die Datei 'Private-Texte.zip' mit der Datei 'mail.document.Datex-packed.exe' nicht zu öffnen. Wer es dennoch tut, installiert den Wurm. Zur Tarnung wird eine Textdatei mit unsinnigen Daten in Notepad geöffnet. Im Hintergrund beginnt Sober.n aber sich zu verbreiten. Wenn der Rechner nicht Online ist, stellt er eine Verbindung her und startet dann die Suche nach Emailadressen. Dazu durchsucht er auf dem Recher befindliche Dateien. Die gefunden Emailadressen werden daraufhin geprüft, ob sie an Systemadministratoren, Antivirenhersteller etc. gerichtet sind und ggf. ausgefiltert. Wenn die Emailadresse auf .de, .at oder .ch endet, erhalten die Empfänger eine deutschsprachige Mail (s.o.). Alle anderen erhalten eine englischsprachige Mail mit folgenden Eigenschaften:

Subject: I've_got your EMail on my_account!
Message:
> Hello,
> First, Very Sorry for my bad English.
> Someone is sending your private e-mails on my address.
> It's probably an e-mail provider error!
> ]-f
> At time, I've got over 10 mails on my account, but the recipient are you.
> I have copied all the mail text in the windows text-editor for you & zipped then.
> Make sure, that this mails don't come in my mail-box again.
> bye
Attachment: your_text.zip

AVK erkennt Sober.n mit den aktuellen Signaturen. Bitte laden Sie die neuesten Updates herunter oder stellen Sie das automatische Update auf täglich oder besser noch stündlich ein.

Weitere Informationen:
Sober.n im Virenlexikon des AntiVirusLab

Quelle