19. April 2005:

Öfter mal was Altes

Wieder einmal geistert ein neuer Wurm aus der altbekannten Sober-Familie durchs Netz. Besonders im deutschsprachigen Raum verbreitet er sich derzeit offenbar mit großer Geschwindigkeit. Denn die neue Sober-Wurmvariante, der je nach Antivirenfirma die Buchstaben M, N oder O angehängt werden, spricht neben Englisch auch noch Deutsch. Ihren Ursprung hat die Sober-Wurmfamilie in der rechtsradikalen Wurm- und Virenschreiberszene.

Babylonische Namensverwirrung
Die Verwirrung ist wieder mal komplett. Die einen Antivirenfirmen warnen vor Sober.M, andere haben die neue Variante aus der altbekannten Sober-Familie Sober.N getauft, und wieder andere benutzen bereits den Buchstaben „O“, um dem neuen Sober-Wurm einen Namen zu geben. Taucht ein neues Schadprogramm im Internet auf, kocht jede Antivirenfirma eben immer noch ihr eigenes Süppchen. Eine weltweit einheitliche Nomenklatur gibt es nicht. Wer ein Schadprogramm zuerst entdeckt, darf es auch taufen. Tabu sind Namen, die der Viren- oder Wurmprogrammierer möglicherweise selbst ausgesucht hat. Auch der Name der Antivirenfirma sollte keine Verwendung finden. Ansonsten hat der Wurmentdecker bei der Namensgebung völlig freie Wahl.

Warnung vor Sober.M alias Sober.N alias Sober.O
Ein solches System kann nur dann einigermaßen funktionieren, wenn es einen eindeutigen Erstentdecker gibt. Das ist heutzutage aber immer seltener der Fall. Wird ein Schadprogramm in die freie Wildbahn des Internets entlassen, wird es von den Antivirenfirmen zumeist zeitgleich entdeckt. Jede Firma glaubt, die Erste zu sein, und leitet daraus das Recht zur Namensgebung ab. Die Konsequenz ist ein buntes Namensdurcheinander von meist mehreren Alias-Namen, wie das Auftauchen der neuen Sober-Variante wieder einmal eindeutig belegt.

Verbreitung per Massenmail
Der neue Sober-Wurm ist ein klassischer Mass-Mailing-Wurm. Er befällt ausschließlich Windows-PCs und verbreitet sich von dort wie seine Wurmgeschwister mittels eigener SMTP-Maschine als Anhang von massenhaft verschickten Emails. Der Anhang dieser Mails besteht aus einer ZIP-Datei mit einer Größe von rund 74 kB. Bei seiner automatischen Versendung verwendet der Wurm alle Emailadressen, die er auf dem befallenen System vorfindet. Damit er ungestört werkeln kann, beendet er alle installierten Antivirenprogramme und Firewalls.

„Ich bin’s nochmal“
Wie etliche seiner Wurmgeschwister auch verschickt sich der neue Sober-Wurm wahlweise mit deutschen oder englischen Nachrichtentexten je nachdem, welche Domainendung die Empfängeradresse besitzt. Soweit bisher ersichtlich benutzt Sober.M/N/O immer denselben Betrefftext: „FwD: Ich bin’s nochmal“ bei deutschsprachigen Empfängern und ansonsten „I’ve_got your Email on my_account“. Auch bei den Nachrichtentexten gibt es offenbar nur zwei Varianten, von denen die deutsche folgenden Text enthält:
Verdammt,,,,
ich hatte vergessen Dir meinen Text mitzuschicken.
Aber bitte nicht woanders darueber Reden, ich wuerde mich dann zu Tode
blamieren!
Ich melde mich.
Bis bald ;)
Betreff- und Nachrichtentexte scheinen zumindest im deutschsprachigen Raum ihre angepeilte Wirkung nicht zu verfehlen. Neugierig geworden öffnen Emailnutzer reihenweise die angehängte ZIP-Datei namens „Private_Texte.zip“ und aktivieren dadurch das Schadprogramm auf ihren PCs.

Rechtsradikale Urheber?
Die Programmierer des Sober-Wurms werden in der rechtsradikalen Wurm- und Virenschreiberszene vermutet. Würmer aus der Sober-Familie waren im letzten Jahr für die massenhafte Verbreitung von Emails mit rechtsradikalen Texten verantwortlich. Ob auch die neue Variante einen rechtsradikalen Entstehungshintergrund besitzt oder von Nachahmern in die Cyber-Welt gesetzt wurde, lässt sich derzeit noch nicht klären.

Zurück zur News-Übersicht