zurück zur Übersicht

W32.Sober.L (W32.Sober.L@mm)

07.03.2005

Eine neue Sober-Variante wurde heute 17 Uhr MEZ über das Netz der des deutschen Providers Web.de "gelaunched". Innerhalb kürzester Zeit musste der Wurm mehrere hundertmal registriert werden. Was für diese Uhrzeit wo sich die Mehrheit der User auf dem Heimweg befindet ein ungewöhnliches starkes Aufkommen ist.

• Sendet eMail an Adressen, die er auf dem lokalen Computer findet.
  
• Ändert die Systemregistrierung
• Führt eventuell willkürlichen, aus dem Internet heruntergeladenen Inhalt aus.

Wird diese Sober-Variante durch Öffnen des Attachments (Doppelklick) aktiviert, ...

1. kopiert er sich ins Windows/System-Verzeichnis als "Windowsmsagentsystemsmss.exe"
2. und legt zusätzliche Dateien (zB: "Windowsmsagentsystemzipzip.zab") ab.
   
3. wird die Systemregistrierung geändert
4. wird eine bestehende Internetverbindung genutzt oder eine neue (DFÜ-Netzwerkverbindung) aufgebaut
   
5. dann werden die Dateien des PC nach eMail-Adressen durchsucht
6. schliesslich versendet sich der Wurm an die gefundenen Adressen.
   

Der Wurm wurde in MS Visual Basic programmiert, ist UPX gepackt und ist nicht auf das MS .NET Framework angewiesen, was ihn daher für alle MS Betriebssysteme gefährlich macht!

Der Wurm "verankert" sich z.B. in der Registry unter
HKEY_LOCAL_MACHINE -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Run (damit er bei einem Reboot wieder gestartet wird), und legt dort einen Eintrag "Services.dll" mit dem Wert "C:Windowsmsagentsystemsmss.exe" an. Da es den Process "smss.exe" unter Windows tatsächlich gibt (allerdings steht dieser nicht unter C:Windowsmsagent sondern unter C:Windowssystem32 kann dieser Eintrag leicht übersehen werden.)
Auch legt der Wurm das eigentlich sehr auffälliges File c:Windowsmsagentsystemzipzip.zab an.

Dann beginnt der Wurm mit der Suche nach E-Mail Adressen, an die er sich versenden kann. Dazu werden u.a. auch .wab Dateien (Outlook/Outlook Express Adress Book Files) durchsucht. Aber auch Files im Internet Explorer Cache werden nach brauchbaren E-Mail Adressen durchsucht.

Diese Sober-Variante benützt zur Verbreitung auch eMailadressen, die er auf der Festplatte (zB: in temporären oder gespeicherten Datein besuchter Webseiten) eines befallenen Rechners findet, und fälscht zusätzlich die Absenderadresse.
Antworten - an den vermeintlichen Absender haben also keinen Sinn.

Folgende Absender deuten auf ein infiziertes eMail hin:

<irgendwas>@web.de

Achtung: Es kann auch eine Ihnen bekannter Absender-Domain sein!

Folgende Betreffzeilen deuten auf ein infiziertes eMail hin:

Ich habe Ihre E-Mail bekommen!
your password + accountnumber !

Folgende Attachments deuten auf ein infiziertes eMail hin:

Mailtexte.zip
Acc_text.zip

Die Nachricht selbst kann so - aber auch anders (!) aussehen:

Hallo,
jemand schickt ihre privaten Mails auf meinem Account.
Ich schaetze mal, das es ein Fehler vom Provider ist.

Insgesamt waren es jetzt schon 6 Mails!
Ich habe alle Mail-Texte im Texteditor kopiert und gezippt.

Wenn es doch kein Fehler vom Provider ist, sorge dafuer das diese Dinger nicht mehr auf meinem Account landen, es Nervt naemlich.

Gruss

-----------

hi,

i've got an admin mail with a Password and Account info!
but the mail recipient are you! it's probably an esmtp error, i think.
i've copied the full mail text in the Windows text-editor & zipped.
ok, cya...

Die Entfernung bzw. Anwendung von Removal-Tools wird von uns nicht supportet und erfolgt auf Ihre eigene Gefahr!

Entfernungs-Tools:

	Symantec (EXE-Datei) Sober.L
	Ikarus-Software (EXE-Datei) Sober.L

zurück zur Übersicht