Neuer Sober-Wurm mit deutschen Texten verbreitet sich stark
Der Wurm-Code befindet sich wie üblich in dem mit der E-Mail versendeten Anhang, dessen Name aus einem Fundus an Bausteinen zusammengesetzt wird und die Endung .bat, .com, .exe, .pif, .scr oder .zip trägt. Durch entsprechend aufgemachte Betreffzeilen samt passender Nachrichtentexte vermittelt Sober.I unter anderem den Eindruck, dass es sich bei der E-Mail um eine Fehlermeldung eines Mail-Servers handele, um so potenzielle Opfer zum Öffnen der Anhänge zu bringen.
Die Betreffzeile kann etwa aus den folgenden Teilen bestehen:
Ungültige Zeichen in Ihrer E-Mail -SMTP Mailzustellung fehlgeschlagen -Damon FwD: Mail_Delivery_failure Mailer Error FwD: Mailer Error -Damon invalid mail Mail- Verbindung wurde abgebrochen -Code Re: Lieferungs-Bescheid Re: Auftragsbestätigung Registration confirmation
Wird der E-Mail-Anhang manuell geöffnet, aktiviert dies den Wurm, der sich dann so in die Registry einträgt, dass er bei jedem Windows-Neustart automatisch geladen wird. Außerdem durchsucht der Wurm eine Vielzahl lokaler Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese, um sich so zu verbreiten.
Die Hersteller von Antiviren-Lösungen stellen bereits aktualisierte Signaturdateien für Virenscanner zum Download anbieten, so dass man seinen Virenscanner unverzüglich aktualisieren sollte.