Virusbestrijders vinden variant van Sober-virus

Vooral Duitsland heeft er last van

22 december 2003 | Jamie Biesemans De Britse firma MessageLabs waarschuwt voor een nieuwe vorm van het Sober-virus. Deze variant werd voor het eerst in Duitsland gedetecteerd en zou zich ondertussen wereldwijd verspreiden. In de voorbije 24 uur 20 december blokkeerde MessageLabs bijna 7.000 geïnfecteerde mails, waarmee Sober.c op de zesde plek van de virus top10 staat . De nieuwe variant moet nog altijd Dumaru, Swen, Sobig, Klez en Mimail voorlaten.

De statistieken van MessageLabs tellen de hoeveelheid besmette mails en zijn afkomstig van de virusscanners die op de mailservers draaien waarmee de klanten van het Britse bedrijf hun e-mail sturen. Hierdoor lopen mass-mail virussen in het cijfermateriaal van MessageLabs extra in de kijker. Andere virusbestrijders tellen meestal het aantal geïnfecteerde bestanden of pc's.

De Sober.c-worm biedt zich aan in een mail die een uiteenlopend onderwerp en afzender kan bevatten. MessageLabs detecteerde een heel flink besmette mails met een Duitstalig onderwerp. Dat Duitsland het zwaar te verduren heeft, blijkt ook bij Trend Micro. De maker van antivirussoftware meldt op zijn website talloze klachten vanuit dat land.

Het venijn zit in het bijgevoegde bestand dat, afhankelijk van de configuratie van Outlook of Outlook Express, automatisch wordt uitgevoerd bij het previewen of openen van de mail. Zoals bij wel meer actuele virussen heeft dat bestand een dubbele extensie, waardoor het op eerste zicht een tekst- of Word-document lijkt te zijn. In werkelijkheid gaat het om een uitvoerbaar bestand.

Als dat bestand wordt uitgevoerd, kopieert Sober.c zich op verschillende locaties op de harde schijf en wordt het Register van Windows aangepast. Uniek is dat dit virus altijd twee exemplaren in het geheugen heeft draaien. Als een wordt geëlimineerd, zal de andere zijn tweelingbroer opnieuw opstarten. Dat maakt het handmatig verwijderen van Sober.c moeilijker.

Sober.c plundert verder het adresboek en gaat in talloze andere bestanden, zoals html-bestanden, op zoek naar mailadressen van nieuwe slachtoffers. Daarnaast probeert de worm zich ook te verspreiden via p2p-netwerken. Lees meer artikels over : trendmicro, antivirus

bron: ZDNet