Sober.C kommt mit offiziellem Anschreiben

Die dritte Variante der Sober-Familie, die derzeit vor allem deutsche und österreichische Postfächer unsicher macht, zeichnet sich weniger durch technische Neuerungen als durch perfide Formulierungen aus. Der Virus zielt zeitlich auch klar auf den letzen Montag vor Weihnachten. Er verwendet je nach Zieldomain eine E-Mail mit deutschem oder englischem Betreff.
Die infizierten Mails haben verschiedene Betreff-Zeilen. “Ermittlungsverfahren eingeleitet” lautet eine, oder “Sie sind ein Raubkopierer”. Als Absender muss die Sonderkommission ‘Internet Downloads’ der Düsseldorfer Polizei herhalten. In dem Anschreiben wird dem Empfänger mit einem Strafverfahren gedroht. In den 73 KB großen Attachments, die mit den Endungen .exe, .cmd, .com, pif, .scr oder .bat daherkommen, seien die Details aufgelistet. Sehr zum Leidwesen der Polizeidienststelle, denn die in der Mail angegebene Telefonnummer und Adresse ist echt. Und jetzt stehen dort die Telefone nicht mehr still, melden die Nachrichtenagenturen.

Andere Varianten warnen den Empfänger vor neuen Dialern oder davor, dass er einen Virus auf seinem Rechner hat. Will man nun die Datei öffnen, so kopiert sich der Virus gleich drei mal auf den Rechner. Der Wurm erstellt sodann zwei Dateinamen per Zufallsgenerator und startet das Programm in zwei verschiedenen Anwendungen. Der Wurm versucht sich selbst zu schützen, in dem er etwa den Zugriff auf die infizierte Datei blockiert.

Die meisten Antiviren-Hersteller haben bereits neueste Updates, um den Virus unschädlich zu machen. So hat die schwäbische Firma Antivir weitere Informationen und einen aktualisierten Scanner zu Sober.C auf ihrer Homepage bereitgestellt. Aber auch Symantec wartet mit einem angepassten Virenfänger auf.

Im Virenforschungslabor von Network Associates, stuft man Sober.c@MM oder auch ‘W32’ sogar als besonders gefährlich im deutschsprachigen Raum ein. Der Wurm hat schließlich eine eigene SMTP-Engine und attackiert gezielt die auf dem betroffenen Rechner abgelegten Emailadressen. Ursprünglich auf “Low-Risk” eingestuft, sei durch seine Zweisprachigkeit (Deutsch und Englisch) mit einer höheren Gefahr in den deutschsprachigen Ländern zu rechnen, so heißt es hier. Aktuelle Informationen und Gegenmaßnahmen zu Sober.c können demnach hier abgerufen werden. Network Associates bietet zur Beseitigung des Wurm bereits ein neues DAT-File 4310 an, welches in das Verzeichnis des Viren-Scanners kopiert werden muss. Ein kostenloser ‘Stand-Alone Remover’ zur Bereinigung infizierter Systeme sei ebenfalls zu haben, heißt es bei dem Security-Anbieter.

Bei dem Security-Unternehmen Messagelabs sind bis mittags über 7000 Kopien in den digitalen Virennetzen hängen geblieben, was auf die schnelle Verbreitung schließen lässt. Auch für die Kunden dieses Anbieters gibt es schon wirksame Scanner.