Sober-Wurm mit deutschen Texten verbreitet sich

Sober.J täuscht eine laufende E-Mail-Unterhaltung vor

Mit Sober.J verbreitet sich seit dem Wochenende nach einer längeren Ruhephase abermals eine Sober-Variante recht zügig im Internet. Der Wurm versendet sich in einer deutschsprachigen E-Mail und gibt vor, im Anhang Informationen zu einer E-Mail-Unterhaltung zu enthalten. Wie bei aktuellen Würmern üblich, fälscht auch dieser die Absenderadresse und verschleiert somit seine Herkunft.

Artikel veröffentlicht am 31. Januar 2005, 11:48 Uhr, Ingo Pakalski

Der Wurm-Code befindet sich wie üblich in dem mit der E-Mail versendeten Anhang, dessen Name aus verschiedenen Textbausteinen zusammengesetzt wird und zumeist die Endung .zip trägt, aber auch als Exe-Datei daherkommt. Die Inhalte von Betreffzeile und Nachrichtentext sollen dem Empfänger vorgaukeln, dass bisherige E-Mails nicht beantwortet worden seien. Daher würden die bisherigen E-Mails zugeschickt und man möge sich diese doch bitte ansehen. Damit sollen Opfer dazu gebracht werden, die Zip- oder Exe-Datei zu öffnen, was den Rechner durch den Wurm infiziert. Die deutschsprachige Betreffzeile der neuen Sober-Variante lautet: "Ey du DOOF Nase, warum beantw..."

Auf infizierten Systemen trägt sich Sober.J so in die Registry ein, dass er bei jedem Windows-Neustart automatisch geladen wird. Außerdem durchsucht der Wurm eine Vielzahl lokaler Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese, um sich so zu verbreiten. Dazu werden die Absenderadressen gefälscht, so dass der eigentliche Versender der Wurm-E-Mail nicht ohne weiteres ermittelt werden kann.

Die Hersteller von Antiviren-Lösungen stellen bereits aktualisierte Signaturdateien für Virenscanner zum Download bereit, so dass man seinen Virenscanner unverzüglich aktualisieren sollte.