Trend Micro, vodilni proizvajalec protivirusne opreme in rešitev za zaščito pred neustreznimi in nezaželenimi internetnimi vsebinami, ki ga v Sloveniji uradno zastopa podjetje REAL security d.o.o., je objavil rumeni alarm za virus WORM_SOBER.S.
Ta črv se širi tako, da z lastnim SMTP programom za pošiljanje elektronskih sporočil pošlje svojo kopijo na naslove, ki jih najde v določenih datotekah okuženega računalnika.
Elektronsko sporočilo je oblikovano kot sporočilo mednarodne nogometne organizacije FIFA, ki prejemnika obvešča, da je zadel brezplačno vstopnico za prihajajoče svetovno nogometno prvenstvo, ki bo leta 2006 v Nemčiji.
Okuženo elektronsko sporočilo ima naslednjo obliko:
From/Od: [eden od spodnjih pošiljateljev]
- Admin
- Hostmaster
- Info
- Postmaster
- Register
- service
- webmaster
Subject/Zadeva: [ena od spodnjih]
- Glueckwunsch: Ihr WM Ticket
- Ich bin's, was zum lachen ;)
- Ihr Passwort . Ihre E-Mail wurde verweigert
- Mail-Fehler!*
- WM Ticket Verlosung*WM-Ticket-Auslosung
- Re:
- Your Password
- Registration Confirmation
- Your email was blocked
- mailing error
Besedilo: [eno od spodnjih]
- Passwort und Benutzer-Informationen befinden sich in der beigefuegten Anlage.
*-* http://www.
*-* MailTo: PasswordHelp
- Diese E-Mail wurde automatisch erzeugt Mehr Information finden Sie unter http://www.
- Folgende Fehler sind aufgetreten:
- Fehler konnte nicht Explicit ermittelt werden
- End Transmission
- Aus Datenschutzrechtlichen Gruenden, muss die vollstaendige E-Mail incl. Daten gezippt & angehaengt werden. Wir bitten Sie, dieses zu beruecksichtigen.
- Auto ReMailer# [
- Nun sieh dir das mal an!
Was ein Ferkel ....
- . Herzlichen Glueckwunsch,
--- FIFA-Pressekontakt:
ok ok ok,,,,, here is it
r die 64 Spiele der Weltmeisterschaft 2006 in Deutschland sind Sie dabei.
Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.
ok2006
Team
St. Rainer Gellhaus
error-
--- Pressesprecher Jens Grittner und Gerd Graus
--- FIFA Fussball-Weltmeisterschaft 2006
--- Organisationskomitee Deutschland
--- Tel. 069 / 2006 - 2600
--- Jens.Grittner@ok2006.de
--- Gerd.Graus@ok2006.de
- Account and Password Information are attached!
Visit: http://www.
- AntiVirus Service
**** WebSite: .
Priponka: [ena od spodnjih]
- mail_info.zip
- okTicket-info.zip
- LOL.zip
- _PassWort-Info.zip
- autoemail-text.zip
Virus ob zagonu prikaže spodnje okno in zapiše svoje kopije v mapo %Windows%Connection WizardStatus v obliki naslednjih datotek:
- CSRSS.EXE,
- SERVICES.EXE,
- SMSS.EXE,
hkrati pa ustvari tudi spodnja vnosa v register, ki poskrbita za samodejen zagon virusa ob zagonu operacijskega sistema.
HKEY_LOCAL_MACHINESoftwareMicrosoft
WindowsCurrentVersionRun
WinStart = "%Windows%Connection WizardStatusservices.exe"
HKEY_CURRENT_USERSoftwareMicrosoft
WindowsCurrentVersionRun
WinStart = "%Windows%Connection WizardStatusservices.exe"
Natančnejši opis in navodila za odstranitev lahko najdete na Trend Microvi spletni strani.
