Sober.Y/.Z tarnt sich als Mail des Bundeskriminalamts

Kaum steht nichts mehr von Sober. V/W. in den Tageszeitungen und in den News sämtlicher News-Seiten, schon versucht  eine neue Sober Variante Windows-Clients
zu infizieren. Raffinierter im Gegensatz zu seinen Vorgängern Sober.V/.W sind die Nachrichtentexte von Sober.Y/.Z allemal. So tarnt sich der Schädling als
vermeintliche Benachrichtigung des Bundeskriminalamtes (BKA), welche u.a. wie
folgt lautet:

Sehr geehrte Dame, sehr geehrter Herr,
das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar. Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP xxx.xxx.xxx.xxx erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet. Die Strafanzeige und die
Möglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt. Aktenzeichen NR.:#1363 (siehe Anhang) Hochachtungsvoll

Im gezippten Anhang bzw. in der gezippten EXE versteckt sich der Wurm, welcher
sich beim öffnen des Archives startet und sich installiert. Zum Vergleich bereits im
Jahre 2003 infizierte der Sober.C mit einem ähnliche Text Millionen von Windows Clients.
Damals klang der Text allerdings etwas anders und als Absender war die Kriminal Polizei (Kripo) Düsseldorf eingetragen. Mittlerweile warnt das BKA in einer eigenen Meldung
vor Mails mit Sober.Y/.Z.

Neben der o.g. Variante das sich der Wurm in einer Mail des BKA’s versteckt, gibt es noch weitere Varianten, etwa eine eBay-Kontoeröffnung und eine RTL-Gewinnbenachrichtigung. Anwender mit englischen Empfängeradressen
bekommen eine Mail zu sehen, die angeblich vom FBI stammt, man hätte illegale Websites besucht.

Laut F-Secure ähnelt der Sober.Y/.Z seinen Vorgängern; er verbreitet sich also von infizierten PCs mit seiner eigens mitgelieferten SMTP-Engine. Ob er dabei wie Sober.V/.W geknackte GMX- und Web.de-Konten benutzt, ist zum derzeitigen
Zeitpunkt noch unklar.

Laut Sophos kann der Sober.Y/.Z weiteren Schadcode aus dem Internet nachladen
und das System ausspionieren. Zusätzlich versucht er, div. Virenscanner zu deaktivieren.

Das BKA rät Windows Usern im Umgang mit Anhängen in Mails größte Vorsicht
walten zu lassen. Auch Mails von bekannten Absendern können befallen sein,
da der Sober.Y/.Z das befallene System nach Mail-Adressbücher durchsucht und
sich automatisch an die vorhandenen Emails versendet.