Dieser
Virus versucht mit kurzen, kyptischen Texten den User dazu zu bringen
den Anhang der eMail zu öffnen.

Die Viren-eMail
gibt vor, bereits durch eine Antivirussoftware geprüft worden zu sein indem
im Text folgende Meldungen einbaut wird:

***
Anti- Virus: Es wurde kein Virus erkannt
*** Domainname Virenschutz
*** http://www.domainname.de

Der Wurm
verschickt sich selbst als Dateianhang mit gefälschtem Absender an Adressen,
die er auf dem infizierten System gefunden hat.

Zur Infektion
ist ein Klick des Anwenders auf den Dateianhang notwendig.

Hier wie
immer die ausführlichen Details zum Nachlesen falls Ihr einen Kunden
dranhabt der sich bei einer eMail nicht sicher ist:

Name:
W32/Sober.f
Alias: W32.Sober.F@mm, Worm/Sober.F, I-Worm.VB.c,
WORM_SOBER.F
In Umlauf seit: 03.04.2004
Typ: EXE (Win32), Wurm (~42 KB)
Verbreitung: E-Mail
Absenderangabe: verschieden (gefälscht!)
Setzt sich zusammen aus:
Administrator
AutoMailer
Fehler-Info
Info
Information
Kundenservice
Liste
Passwort
Register
RobotMailer
Schwarze-Liste
Service
Webmaster (und domains die auf dem infizierten Rechner gefunden werden.
z.B. abuse.de)
Betreff/Subject:
Bestätigung
Datenbank-Fehler
Details
Einzelheiten
Fehler
Fehler in E-Mail
Fehlerhafte Mailzustellung
Hallo Du!
Hallo!
Hey Du
Hi, Ich bin's
Ich bin es .-)
Ihr neues Passwort
Ihr Passwort
Illegale Zeichen in Mail-Routing
Info
Information
Mailzustellung fehlgeschlagen
Na, überrascht?!
Registrierungs-Bestätigung
Verbindung fehlgeschlagen
Verdammt
Warnung!
(gleiche Begriffe sind auch in Englisch in Verwendung!)
Nachricht:
siehe Infolinks, hier 2 Beispiele:

"Alles
klaro bei dir?
Schau mal was Ich gefunden habe!"
_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
_ _ _ _

"Sieh
mal nach ob du den Scheiss auch bei dir drauf hast!
Ist ein ziemlich nervender Virus. Mach genau das, wie es im Text beschrieben
ist!
Bye"
_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
_ _ _ _
Anhang ~42 KB (PIF- oder ZIP-Datei)
z.B.:
"abuse-liste
AMD-System.txt
Anleitung
AntiVirus-Text
Benutzer-Daten
Block-Lists
Datenbank_Auszug
Datenbank-Fehler
Dokument
KurzText
Oh-Mann
Passwoerter.txt
schwarze-listen
Text-Inhalt"

Betroffene Betriebssysteme: Windows 2000,
Windows 95, Windows 98, Windows Me, Windows XP

Symptome:
Existenz der Dateien <Variable>.exe und Syst32win.dll im Windows\System[32]-Verzeichnis
sowie des Registry-Eintrags "<Variable> = %System%\<Variable>.exe"
in den Schlüsseln
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run und
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
<Variable> zusammengesetzt aus: "32" | "crypt"
| "data" | "diag" | "dir" | "disc"
"explorer" | "host" | "log" | "run"
| "service" | "smss32" | "spool" | "sys"
| "win" - z.B.: "windirsys"
Schaden:
E-Mail-Versand, verändert Registry-Einträge
Gegenmittel:
kostenlos bei Symantec:
http://www.symantec.com/avcenter/tools.list.html
Info:

http://www.tu-berlin.de/www/software/show.shtml?virus/soberf
http://www.symantec.com/avcenter/venc/data/w32.sober.f@mm.html
http://vil.nai.com/vil/content/v_101154.htm