Warnung vor Sober.C auf deutsch

Im Laufe des Sonntagnachmittags trafen neue Sober.c-Varianten in den fuzo-Mailboxen ein, allerdings mit Texten, die an Raffinesse wenig zu wünschen übrig lassen. Sober.c zielt ganz klar auf den deutschen Sprachraum ab - zeitlich ebenso klar auf den letzten Montagmorgen vor Weihnachten in den Büros.

Es sind bereits weit mehr und weitaus gemeinere deutsche Textvarianten im Umlauf, als solche in englischer Sprache. Eine der Mails mit Sober drin gibt etwa vor, von der Bamberger Bank eG Raiffeisen-Volksbank" zu stammen und einer namentlich genannten Kundin im Attachment alle "Passwörter und Zugänge" zu übermitteln.

Adresse und Telefonnummern stimmen, das ebenfalls angeführte Fax der Bank dürfte an diesem Sonntag bereits von erbosten Usern [die es nicht besser wussten] allerhand Nachrichten empfangen haben.

Besorgte Internet-Nutzer aus ganz Europa bringen die Telefonleitung der Polizeidienststelle Düsseldorf derzeit zum Glühen. "Das einzig echte an der Mail ist leider unsere Telefonnummer," so ein Polizeibeamter gegenüber der fuzo. "Wir erhalten nicht nur Anrufe aus der Schweiz, Österreich und Deutschland sondern von überall her."

Polizei Düsseldorf [Online-Mitteilung in Arbeit]

From: "SoKo Internet Downloads"

Mails kommen mit variablen Betreffzeilen wie "Ihre IP wurde geloggt", "Sie sind ein Raubkopierer" oder auch "Ermittlungsverfahren wurde eingeleitet" und einem 73 KB großen Datei-Anhang mit der Endung ".bat", ".com", ".cmd", ".exe", ".pif" oder ".scr".

Im Text wird dem Empfänger mit einem Strafverfahren gedroht und die Sonderkommission "Internet Downloads" der Polizei Düsseldorf als Absender der Mails angegeben.

Als Absenderadresse werden diverse Freemail-Adressen genutzt. Der Wurm wird durch einen Doppelklick auf das Attachment aktiviert und kopiert sich dann in die Windows-System-Verzeichnisse. Nach dem Ausführen des Wurms erscheint eine gefälschte Windows-Fehlermeldung.

Über eine eigene SMTP-Engine verschickt er sich weiter an alle E-Mail-Adressen, die er auf dem infizierten Rechner findet. Sämtliche Virenschutzhersteller bieten bereits Updates ihrer Produkte bzw. kostenlose Entfernungstools gegen die dreiste Sober.C-Variante an.

Doch Sober ist nicht nur als Abmahnung gegen Piraten unterwegs, sondern taucht auch als Virenwarnung "Neuer Virus im Umlauf!" oder "Du hast einen Trojaner drauf!", Spambeschwerde "Sie versenden Spam Mails [Virus?]" mit englischem wie deutschem Text auf.

Ikarus Virenwarnung

Perfektes Social Engineering

Als besonders gefinkelte Variante tritt Sober als Mail aus der deutschen Casting-Show "Deutschland sucht den Superstar" auf.

"Hallo, Du wurdest zufällig von ca. 85.000 E-Mail Adressen ausgewählt, um bei RTL DSDS in der Zuschauer Jury mit zu Voten. Das ganze hat auch noch ein SUPER Vorteil, Du bekommst zusätzlich noch einen V.I.P Ausweis, mit dem du hinter den Kulissen bei den Stars mit dabei sein darfst.

[..]

Du musst mindestens 12 Jahre alt sein, um mitmachen zu dürfen. Einfach das Anmeldformular ausfüllen und auf Antwort warten.[..]

Symantec Vireninfo

Removal-Tool von AntiVir