Need help? Ask the community or hire an expert.
Go to Avira Answers
Alias:-
Type:Worm 
Size:51.688 bytes 
Origin: 
Date:02-21-2005 
Damage: 
VDF Version:6.29.00.138 
Danger:Low 
Distribution:Medium 

General DescriptionAffected platforms:
* Windows 95;
* Windows 98;
* Windows ME;
* Windows NT;
* Windows 2000;
* Windows XP;
* Windows Server 2003.

SymptomsEmail sending.

DistributionWorm/Sober.M sends itself using its own SMTP engine to email addresses, which it collects from files on the infected system with the following extensions. The emails texts can be in german or english, depending on the domain name.

pmr
phtm
stm
slk
inbox
imb
csv
bak
imh
xhtml
imm
imh
cms
nws
vcf
ctl
dhtm
cgi
pp
ppt
msg
jsp
oft
vbs
uin
ldb
abc
pst
cfg
mdw
mbx
mdx
mda
adp
nab
fdb
vap
dsp
ade
sln
dsw
mde
frm
bas
adr
cls
ini
ldif
log
mdb
xml
wsh
tbb
abx
abd
adb
pl
rtf
mmf
doc
ods
nch
xls
nsf
txt
wab
eml
hlp
mht
nfo
php
asp
shtml
dbx

If the email address contains one of the following strings, the worm won't send itself to these:

ntp-
ntp@
ntp.
info@
test@
@www
@from.
support
smtp-
@smtp.
gold-certs
ftp.
.dial.
.ppp.
anyone
subscribe
announce
@gmetref s
ql.
someone
nothing
you@
user@
reciver@
somebody
secure
whatever@
whoever@
anywhere
yourname
mustermann@
.kundenserver.
mailer-daemon
variabel
noreply
-dav l
aw2
.sul.t-
.qmail@
t-ipconnect
t-dialin
ipt.aol
time
freeav
@ca.
abuse
winrar
domain.
host.
viren
bitdefender
spybot
detection
ewido.
emsisoft
linux
google
@foo.
winzip
@example.
bellcore.
@arin
mozilla
iana@
iana-
@iana
@avp
icrosoft.
@sophos
@panda
@kaspers
free-av
antivir
virus
verizon.
@ikarus.
@nai.
@messagelab
nlpmail01.
clock

-FROM: %spoofed%

Service
Webmaster
Register
Hostmaster
Postmaster
service
webmaster
register
hostmaster
postmaster
police@FBI.gov
Officer@FBI.gov
Admin@FBI.gov
Web@FBI.gov
FBI@FBI.gov
police@fbi.gov
Officer@fbi.gov
Admin@fbi.gov
Web@fbi.gov
FBI@fbi.gov
Security@microsoft.com

-SUBJECT:

Ihr Passwort wurde geaendert
Ihr neues Passwort
EMail-Empfang fehlgeschlagen
Paris Hilton Nackt!
Paris Hilton SexVideos
Seitensprung gesucht?
Vorsicht! Neuer Sober Wurm!
Anhang Scanner: Kein Virus enthalten
Mail Scanner: Kein Virus gefunden
AntiVirus System: No Virus found
Your new Password
Mail_delivery_failed
Paris Hilton, pure!
Alert! New Sober Worm!
Attachment: No Virus found
Mail-Scanner: No Virus detected
AntiVirus: Found to be clean
You visit illegal websites

-Emailtext (BODY):

-Hallo,
wir hoffen das Ihnen die Betreffszeile unsere Mail genug sagt.
Der Jugendschutz verbietet uns leider mehr Auskunft ueber unser Angebot zu geben.
Informationen,,,, wie Sie sich bei uns anmelden koennen befinden sich im beigefuegten Dokument.
Natuerlich ist die Anmeldung Kostenlos!
Mehr als 2.5 Millionen registrierte Benutzer!!!
Da ist fuer jeden was dabei!
Auf Wiedersehen

-Wichtige Information!
Eine neue Sober-Variante verbreitet sich derzeit im Internet. Wie seine Vorgaenger verschickt sich der Wurm von infizierten Windows-Rechnern per E-Mail an weitere Adressen.
Es wird deshalb empfohlen, das Patch-Tool auszufuehren um sich vor diesem Wurm zu schuetzen bzw. diesen wieder zu entfernen.
--- (c)2005 Microsoft Corporation. Alle Rechte vorbehalten
--- Vertretungsberechtigter: Juergen Gallmann
--- Handelsregisternummer: HRB 70438
--- E-Mail Adresse: security@microsoft.com

-## Diese E-Mail wurde automatisch generiert
## Aus Gruenden der Sicherheit, bekommen Sie diese E-Mail
## wenn Ihr aktuelles Benutzer- Passwort veraendert wurde
---------------
Ihr neues Passwort und weiter Informationen befinden sich im beigefuegten Dokument.
**** Ein Service von
**** http://www.
**** Mail: Help-Line

-Vielen Dank, dass Sie sich bei registriert haben.
Der Betrag von,- Euro ist erfolgreich auf unserem Konto eingegangen.
Passwort, Benutzername und weitere wichtige Informationen zu ihrem neuen Account befinden sich im angehefteten Dokument.
Hochachtungsvoll
Silvia Hochberger

- System Mail -
Diese an ihnen gerichtete E-Mail, wurde in einem falschen Format gesendet.
Der Betreff, Header und Text dieser Mail, wurde deshalb separat in einer Text-Datei gespeichert und gezippt.
Vielen Dank fuer Ihr Verstaendnis[System auto- mail]

-Guten Tag,
mehr als 50 Videos,
Mehr als 1000 heisse Fotos
und mehr als 300 original Sounds von der kleinen Hilton ........ .
Alles frei zum Download, aber nur bis zum 01 April 2005 !!!
Weitere Details entnehmen Sie bitte dem vorliegendem Dokument.
Vielen Dank!
Webmaster

-Dear Sir/Madam,
we have logged your IP-address on more than 40 illegal Websites.
Important: Please answer our questions!
The list of questions are attached.
Yours faithfully,
M. John Stellford
++-++ Federal Bureau of Investigation -FBI-
++-++ 935 Pennsylvania Avenue, NW, Room 2130
++-++ Washington, DC 20535
++-++ (202) 324-3000

-ATTENTION!
Antivirus vendors are warning of a new variant of the Sober
virus discovered today that can delete the hard disk.
Protection:
Download and read the zipped patch. It's very easy to install!
Thanks for your cooperation!
--- (c)2005 Microsoft Corporation. All rights reserved
--- Microsoft Corporation
--- One Microsoft Way
--- Redmond, Washington 98052-6399

-More than 50 HOT Hilton Videos
More than 3000 Hilton picks
FREE Download until April, 2005
Make your own Download Account, its free!
Further details are attached
Thanks & have fun ;)
This is an automatically generated Delivery Status Notification.
ESMTP Error []
I'm afraid I wasn't able to deliver your message.

-This is a permanent error; I've given up. Sorry it didn't work out.
The full mail-text and header is attached

-Thanks for your registration!
We have received your payment.
For more detailed information, read the attached text.

-ATTACHMENT:

Patch-Formular.zip
Patch-Tool.zip
PSW-Text.zip
zipped-text.zip
zipped-mail.zip
Register-Info.zip
register_text.zip
header_text.zip
text_register.zip
patch_help-text.zip
text-indictment_cit.zip

Technical DetailsIf one of these new versions of Worm/Sober is executed, it creates the following files:

\%WinDIR%\msagent\win32\smss.exe
\%WinDIR%\msagent\win32\csrss.exe
\%WinDIR%\msagent\win32\winlogon.exe
\%WinDIR%\msagent\win32\zipedso1.ber (MIME)
\%WinDIR%\msagent\win32\zipedso2.ber (MIME)
\%WinDIR%\msagent\win32\zipedso3.ber (MIME)
\%WinDIR%\msagent\win32\datamx1.dat
\%WinDIR%\msagent\win32\datamx2.dat
\%WinDIR%\msagent\win32\datamx3.dat
\%WinDIR%\msagent\win32\GoTo1.dat
\%WinDIR%\msagent\win32\GoTo2.dat
\%WinDIR%\msagent\win32\GoTo3.dat
\%WinDIR%\msagent\win32\runnowso.ber (Filesize: 0 Bytes)
\%SysDIR%\read.me (TextFile)

and creates the following Registry entries:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run]
" winsystem.sys"="C:\\%WinDIR%\\msagent\\win32\\smss.exe"

[HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run]
"_winsystem.sys"="C:\\%WinDIR%\\msagent\\win32\\smss. exe"

The file READ.ME in Windows system directory is a text file and contains the following text:

Ist eine weitere Test-Version. Luft nur ein paar Tage!
In diesem Sinne:
Odin alias Anon
Description inserted by Crony Walker on Tuesday, June 15, 2004

Back . . . .