Code Sober-virus gekraakt

Doorbraak in strijd tegen spamverstuurder

09 december 2005 | Jamie Biesemans Experts zijn er in geslaagd belangrijke informatie uit de code van de Sober-virusfamilie te halen. Het is nu bekend op welke dag geïnfecteerde pc's nieuwe code downloaden en welke server hiervoor verantwoordelijk is. Voor netwerkbeheerders en providers is dit goed nieuws, want zij kunnen nu op tijd de juiste maatregelen treffen.

Een van redenen waarom de vele Sober-varianten zo welig tieren, is dat het virus op vaste tijden nieuwe code downloadt. De vooralsnog onbekende auteur van Sober gebruikt deze functie om geïnfecteerde pc's in te zetten bij het versturen van spam of het verspreiden van nieuwe Sober-versies.

Nu beschikken virussen wel vaker over een updatefunctie, maar bij Sober is de auteur zeer slim te werk gedaan. Waar in het verleden virussen code downloadden van één adres - wat gemakkelijk te blokkeren was ? wisselt Sober, afhankelijk van de datum, van server.

"De auteur weet dat als hij een vast adres in de viruscode stopt, het snel geblokkeerd zal worden", legt F-Secure-expert Mikko Hyppönen op zijn log uit. "In plaats daarvan gebruikt Sober een algoritme om afhankelijk van de datum op pseudo-toevalsbasis url's te genereren. Deze url's verwijzen naar gratis hostingservers in Duitsland en Oostenrijk - in 99 procent van de gevallen naar onbestaande websites."

De doorbraak betekent dat experts nu weten welke server op vijf januari nieuwe code zal verspreiden. Verwacht wordt dat op die dag de geschatte tienduizenden met Sober geïnfecteerde pc's massaal spam zouden versturen. Veiligheidsfirma iDefense gelooft dat de mails zelfs een neonazistische boodschap zullen bevatten, omdat 5 januari de verjaardag is van de oprichting van de NSDAP-nazipartij van Hitler.

Of er echt een link is tussen Sober en neonazi's is nog niet bewezen. Het is wel zo dat vorig jaar een oudere Sober-variant verantwoordelijk was voor een stortvloed aan Duits-nationalistische propagandamails. En er zijn correlaties mogelijk tussen hoogdagen uit de Nazi-geschiedenis en data in de Sober-viruscode, maar dat kan toeval zijn, zegt de LURHQ Threat Intelligence Group. "Totdat de Sober-auteur zijn bedoelingen duidelijk maakt of aangehouden wordt, kunnen we er enkel over speculeren." Lees meer artikels over : sober, nazi, hyppönen, virus, spam

bron: ZDNet