Worm/Sober.V - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Sober.V
CME Nummer:	157
Entdeckt am:	14/11/2005
Art:	Worm
In freier Wildbahn:	Ja
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Mittel
Statische Datei:	Nein
Dateigröße:	~ 129.500 Bytes
VDF Version:	6.32.00.175 - Mon, 14 Nov 2005 11:57 (GMT+1)

General Verbreitungsmethode:
   • Email

Aliases:
   • Mcafee: W32/Sober.t@MM
   • Kaspersky: Email-Worm.Win32.Sober.u
   • TrendMicro: WORM_SOBER.GEN
   • Bitdefender: Win32.Sober.U@mm

Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Erstellt Dateien
   • Verfügt über eigene Email Engine
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
• %WINDIR%\ConnectionStatus\Microsoft\services.exe

– Eine Datei welche gesammelte Email Adressen enthält:
• %WINDIR%\ConnectionStatus\Microsoft\concon.www

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
• " WinCheck"="%WINDIR%\ConnectionStatus\Microsoft\services.exe"

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
• "_WinCheck"="%WINDIR%\ConnectionStatus\Microsoft\services.exe"

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:
Die Sprache in der die Email verschickt wird ist Top-Level-Domain abhängig.

Von:
Die Absenderadresse wurde gefälscht.
Generierte Adressen. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.

Design der Emails:

Body:
– Kann unter Umständen leer sein.

   • hey its me, my old address dont work at time. i dont know why?!
     in the last days ive got some mails. i' think thaz your mails but im not sure!

     plz read and check ...
     cyaaaaaaa

   • Dear Sir/Madam,

     we have logged your IP-address on more than 30 illegal Websites.

     Important:
     Please answer our questions!
     The list of questions are attached.


     Yours faithfully,
     Steven Allison



     ++++ Central Intelligence Agency -CIA-
     ++++ Office of Public Affairs
     ++++ Washington, D.C. 20505

     ++++ phone: (703) 482-0623
     ++++ 7:00 a.m. to 5:00 p.m., US Eastern time


   • Bei uns wurde ein neues Benutzerkonto mit dem Namen "%Platzhalter 1%" beantragt.
     Um das Konto einzurichten, benoetigen wir eine Bestaetigung, dass die bei der Anmeldung angegebene e-Mail-Adresse stimmt.
     Bitte senden Sie zur Bestaetigung den ausgefuellten Anhang an uns zurueck.

     Wir richten Ihr Benutzerkonto gleich nach Einlangen der Bestaetigung ein und verstaendigen Sie dann per e-Mail, sobald Sie Ihr Konto benutzen koennen.


     Vielen Dank,

     Ihr Ebay-Team

   • Ihre Nutzungsdaten wurden erfolgreich geaendert. Details entnehmen Sie bitte dem Anhang.


     *** http://www.%Domäne des Empfängers%
     *** E-Mail: PassAdmin@%Domäne des Empfängers%

   • Sehr geehrte Dame, sehr geehrter Herr,

     das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar.
     Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP %zufällige IP Adresse% erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.

     Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.
     Aktenzeichen NR.:
     3303 (siehe Anhang)

     Hochachtungsvoll
     i.A. Juergen Stock



     --- Bundeskriminalamt BKA
     --- Referat LS 2
     --- 65173 Wiesbaden
     --- Tel.: +49 (0)611 - 55 - 12331 oder
     --- Tel.: +49 (0)611 - 55 - 0

   • Glueckwunsch: Bei unserer EMail Auslosung hatten Sie und weitere neun Kandidaten Glueck.
     Sie sitzen demnaechst bei Guenther Jauch im Studio!
     Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.


     +++ RTL interactive GmbH
     +++ Geschaeftsfuehrung: Dr. Constantin Lange
     +++ Am Coloneum 1
     +++ 50829 Koeln
     +++ Fon: +49(0) 221-780 0 oder
     +++ Fon: +49 (0) 180 5 44 66 99

   • Account and Password Information are attached!

   • This is an automatically generated Delivery Status Notification.

     SMTP_Error []
     I'm afraid I wasn't able to deliver your message.
     This is a permanent error; I've given up. Sorry it didn't work out.

     The full mail-text and header is attached!


   • Dear Sir/Madam,

     we have logged your IP-address on more than 30 illegal Websites.

     Important:
     Please answer our questions!
     The list of questions are attached.


     Yours faithfully,
     Steven Allison



     *** Federal Bureau of Investigation -FBI-
     *** 935 Pennsylvania Avenue, NW, Room 3220
     *** Washington, DC 20535
     *** phone: (202) 324-3000

   • Protected message is attached!

   • The Simple Life:

     View Paris Hilton & Nicole Richie video clips , pictures & more ;)
     Download is free until Jan, 2006!

     Please use our Download manager.

   • This_is_an_automatically_generated_Delivery_Status_Notification.

     SMTP_Error_[]
     I'm_afraid_I_wasn't_able_to_deliver_your_message.
     This_is_a_permanent_error;_I've_given_up._Sorry_it_didn't_work_out.

     The_full_mail-text_and_header_is_attached!

Versand Erzeugen von Adressen für den Absender:
Um Adressen zu generieren werden folgende Zeichenketten verwendet:
   • Admin
   • hostmaster
   • info
   • Mail

Kurzfassung hier.

Beschreibung erstellt von Andrei Ivanes am Tue, 15 Nov 2005 09:23 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Thu, 19 Jan 2006 10:14 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück