Ny variant af Sober spreder sig i Tyskland
Nye varianter af Sober familien spreder sig
En typisk e-mail baseret Internet orm spreder sig i højtiden. Ormen er blevet døbt W32.Sober-C.worm og er skrevet i Visual Basic hvorefter den er blevet pakket med en modificeret udgave af UPX. Det er sket for at besværliggøre analyse af den ondsindede orm som ankommer via e-mail med et dynamisk indhold. Den kan derfor være vanskelig at genkende.
Emnet i e-mail kan være en af følgende kombinationer:
ups, i've got your mail
Sorry, that's your mail
hi, its me
Thank You very very much
you are an idiot
why me?
I hate you
Preliminary investigation were started
Your IP was logged
You use illegal File Sharing ...
A Trojan horse is on your PC
a trojan is on your computer!
Anime, Pokemon, Manga, ...
Betr: Klassentreffen
Testen Sie ihren IQ
Bankverbindungs- Daten
Neuer Dialer Patch!
Ermittlungsverfahren wurde eingeleitet
Ihre IP wurde geloggt
Sie sind ein Raubkopierer
Sie tauschen illegal Dateien aus
Ich hasse dich
Ich zeige sie an!
Sie Drohen mir!!
Anime, Pokemon, Manga, Handy ...
AnmeldebestStigung
Neu! Legales Filesharing
Umfrage: Rente erst mit 80!
du wirst ausspioniert
Ein Trojaner ist auf Ihrem Rechner!
Du hast einen Trojaner drauf!
Hi, Ich bin's
Indholdet i e-mailen er meget dynamisk hvor ormen bl.a. høster indhold fra den inficerede maskine, som den herefter indsætter. Ormen er vedhæftet - typisk som en txt.exe fil. Den kan dog også forekomme ud fra følgende kombinationer:
downloader.exe
www.anime4allfree.com
www.animepage43252.com
www.onlinegamerspro-worm.com
www.freegames4you-gzone.com
www.boards4all-terror432.com
www.iq4you-german-test.com
www.freewantiv.com
www.free4manga.com
www.free4share4you.com
www.tagespolitik-umfragen.com
Hvis ormen åbnes vil den frembringe en falsk fejlmeddelelse og kopiere sig til windows systemmappen. Herefter gennemsøges den lokale maskine for gyldige e-mail adresser. Samtlige e-mail adresser som høstes vil modtage en kopi af ormen.
En komplet analyse kan findes på nedenstående link.
http://www.krusesecurity.dk/advisories/sober-c.txt