Sober.B wehrt sich gegen Anti-Viren-Tools
Wird das Attachment der E-Mail ausgeführt, erscheint eine gefälschte Messagebox mit der Fehlermeldung "Header is missing". Im Hintergrund kopiert sich Worm/Sober.B an diverse Stellen im Windows-Systemverzeichnis. Sober.B sammelt auf dem System enthaltende E-Mail-Adressen in der Datei "mscolmon.ocx" und versendet sich über eine eigene STMP-Engine.
Dabei verwendet Sober.B diverse Betreffzeilen und Mail-Texte, unter anderem "Re: George W.Bush plans new wars", "Ich habe Sie Ge-hackt", "You Got Hacked" und "Fwd: Der Kannibale von Rotenburg".
Der Wurm startet sich generell in zwei Instanzen, wobei der eine Prozess den jeweils anderen Prozess mit "exklusivem Zugriff" öffnet. Ist der Wurm aktiv, können daher die infizierten Dateien von den meisten Antivirenscannern nicht mehr gescannt werden, da kein Zugriff auf das System gestattet wird. Beendet man einen der Prozesse, erkennt das der zweite Prozess und startet über die vom Wurm erstellte Datei spooler.exe den zweiten Wurm-Prozess neu.
Wird versucht, den Run-Eintrag in der Windows Registry zu entfernen, während der Wurm noch aktiv ist, schreibt dieser sich automatisch wieder in die Registry. Dies erfolgt mit Hilfe eines Visual-Basic-Timer-Objekts, welches in Intervallen die Registry des Run-Eintrags abfragt, berichtet unter anderem H+BEDV(öffnet im neuen Fenster), deren Tools – wie die der meisten anderen Anti-Virenhersteller auch – den Wurm mittlerweile erkennen und beseitigen können.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.