Virus/Wurm: Neue Sober-Version im Umlauf

21.04.2005
Virus/Wurm: W32/Sober M/N

E-Mails mit dem Betreff "FwD: Ich bin's nochmal!" (oder "Ich habe Ihre E-Mail bekommen!") verleiten den Empfänger mit irreführendem Text zum Öffnen der angehängten Datei. Dabei handelt es sich um eine neue Variante des Sober-Wurms.

Sober.M/N ist ein Internetwurm, der sich per Massenmailing mit seiner eigenen SMTP-Maschine verbreitet. Als Anhang einer E-Mail versendet er sich selbst an auf dem infizierten Rechner gefundene E-Mail Adressen. Die Absenderadresse ist gefälscht.

Alias

Win32.Sober.M [Computer Associates],
Email-Worm.Win32.Sober.o [Kaspersky Lab],
W32/Sober.o@MM [McAfee], W32/Sober-M [Sophos],
WORM_SOBER.N [Trend Micro]
W32.Sober.N@mm [F-Secure]

Erläuterung

Der Absender wird beim Versenden in jedem Fall gefälscht.

Nach erfolgter Infektion sucht sich der Wurm E-Mail-Adressen auf der Festplatte zusammen.

Der Wurm verschickt sich selbständig als Massenmail an die gefundenen E-Mail Adressen und an solche, die er willkürlich konstruiert.

Ist der Computer eines Bekannten, der Ihre E-Mail Adresse auf seinem Gerät gespeichert hat, infiziert, so kann demzufolge auch Ihre Adresse als Absender missbraucht werden.

Gelangt diese E-Mail an keinen existierenden Empfänger, erhalten Sie in der Folge irreführende Fehlermeldungen.

Betreff

Die Subjektzeile kann wie folgt lauten:

FwD: Ich bin's nochmal!
Ich habe Ihre E-Mail bekommen!"

oder

I've_got your EMail on my_account!
Your Password & Account number

Beispiel Textinhalt u.a.

Verdammt,,,,
ich hatte vergessen Dir meinen Text mitzuschicken.

Aber bitte nicht woanders darueber Reden, ich wuerde mich dann zu Tode blamieren!

Ich melde mich. Bis bald ;)

oder

Hello,
First, Very Sorry for my bad English.
Someone is sending your private e-mails on my address.

It's probably an e-mail provider error! At time, I've got over 10 mails on my account, but the recipient are you. I have copied all the mail text in the windows text-editor for you & zipped then.

Make sure, that this mails don't come in my mail-box again. bye

Anhang/Attachment

Im Anhang findet sich eine ZIP-Datei namens "Private-Texte.zip" oder "your_text.zip", in dessen Archiv die ausführbare Datei "mail.document.Datex-packed.exe" zu finden ist.

Offenbar weckt der plausible Text die Neugier und die Anwender übersehen die mit vielen Leerzeichen abgetrennte Dateiendung .zip, die auf eine ausführbare Datei hinweist. Wer die vermeintliche Textdatei öffnet, infiziert sein System mit dem neuen Wurm. Es ist jedoch nicht auszuschließen, dass der Schädling auch andere Texte und Dateinamen verwendet.

Empfehlung

Das unmittelbare Löschen eines E-Mails mit entsprechender Betreffzeile bietet den besten Schutz. Sollten Sie die angehängte Datei bereits geöffnet haben, so finden Sie auf Sophos unter dem Register "Wiederherstellung" Informationen zur Entfernung der Würmer:

Sophos Vireninformation

Zusätzlich empfehlen wir, die Vorschau in Ihrem Mailprogramm zu deaktivieren. Bereits in dieser Ansicht können Viren und Würmer aktiv werden.

Weitere Informationen

Heise
F-Secure
Technische Universität Berlin

Generelle Schutzmassnahmen

1. Update der Anti-Viren-Software
Aktualisieren Sie umgehend die Virensignaturen Ihrer Anti-Viren-Software. Einige Software führen diese Updates automatisch durch. Überprüfen Sie in jedem Fall das Datum der letzten Aktualisierung.

2. Bluewin Virenfilter einschalten
Der Bluewin Virenfilter sorgt dafür, dass infizierte E-Mails gar nicht erst in Ihr Postfach gelangen. Weitere Informationen>>

3. Windows Updates einspielen
Ihr Windows Betriebssystem muss regelmässig aktualisiert werden, damit bekannte Sicherheitslücken gestopft werden können.

http://windowsupdate.microsoft.com

4. Generelle Vorsichtsmassnahmen
Öffnen Sie keine E-Mails von unbekannten Absendern. Klicken Sie keinesfalls auf darin enthaltene Links oder angehängte Dateien (Attachments).

Schutz vor Virenbefall für Bluewin Kunden

Auf unserem Sicherheitsportal finden Sie wichtige Hilfestellungen, wie Sie sich zukünftig vor
infizierten E-Mails schützen und

Virusinfektionen aus dem Internet vermeiden können.

http://de.bluewin.ch/services/sicherheit.../virenschutz_de

Hinweis zu den erwähnten Links

Die genannten fremden Links sind nur Empfehlungen und stehen mit Bluewin in keinerlei Verbindung.

Gelesen auf:
http://de.bluewin.ch/services/sicherheit...e_article_de/26

LG NICOLE * نيكول *