Neuer Sober-Wurm mit deutschen Texten verbreitet sich stark

Sober.I gibt sich als vermeintliche Fehlermeldung eines Mail-Servers aus

Mit Sober.I verbreitet sich nach einer längeren Ruhephase abermals eine Sober-Variante sehr schnell im Internet und überflutete in den vergangenen Stunden die E-Mail-Postfächer zahlreicher Nutzer. Der Wurm versendet sich unter anderem in einer als angebliche Mail-Server-Fehlermeldung getarnten E-Mail mit deutschsprachigem Betreff und Nachrichtentext. Wie bei aktuellen Würmern üblich, fälscht auch dieser die Absenderadresse und verschleiert somit seine Herkunft.

Artikel veröffentlicht am 19. November 2004, 11:02 Uhr, Ingo Pakalski

Der Wurm-Code befindet sich wie üblich in dem mit der E-Mail versendeten Anhang, dessen Name aus einem Fundus an Bausteinen zusammengesetzt wird und die Endung .bat, .com, .exe, .pif, .scr oder .zip trägt. Durch entsprechend aufgemachte Betreffzeilen samt passender Nachrichtentexte vermittelt Sober.I unter anderem den Eindruck, dass es sich bei der E-Mail um eine Fehlermeldung eines Mail-Servers handele, um so potenzielle Opfer zum Öffnen der Anhänge zu bringen.

Die Betreffzeile kann etwa aus den folgenden Teilen bestehen:

Ungültige Zeichen in Ihrer E-Mail -SMTP
Mailzustellung fehlgeschlagen -Damon
FwD: Mail_Delivery_failure
Mailer Error
FwD: Mailer Error -Damon
invalid mail
Mail- Verbindung wurde abgebrochen -Code
Re: Lieferungs-Bescheid 
Re: Auftragsbestätigung 
Registration confirmation 

Wird der E-Mail-Anhang manuell geöffnet, aktiviert dies den Wurm, der sich dann so in die Registry einträgt, dass er bei jedem Windows-Neustart automatisch geladen wird. Außerdem durchsucht der Wurm eine Vielzahl lokaler Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese, um sich so zu verbreiten.

Die Hersteller von Antiviren-Lösungen stellen bereits aktualisierte Signaturdateien für Virenscanner zum Download anbieten, so dass man seinen Virenscanner unverzüglich aktualisieren sollte.