Sobig.F geht aktuell in die Geschichte der Computerviren ein, als ein zerstörerischer Code, der sich in kürzester Zeit extrem weitläufig verbreiten konnte. Bereits jetzt hat der Virus weitaus mehr Unwesen getrieben als alle Sobig-Varianten zuvor. Einer der Gründe ist, dass er von jedem infizierten Computer durch unglaublich hohe Spamming-Aktivitäten versandt wird und zusätzlich die Wahrscheinlichkeit, dass ein Computer von diesem Wurm angefallen wird, extrem hoch ist. Sobig.F wandelt Computer, die er infiziert hat, in Spam-Generatoren um, die ganze Netzwerke in Minuten zum Kollabieren bringen.

Alle zehn Sekunden sendet der Wurm eMails aus dem Adressbuch. Wenn man sich einen Heim-PC vorstellt, der lediglich 200 Adressen in seinem Adressverzeichnis enthält, und die meisten Adressbücher sind um einiges größer, wären das allein 1200 ausgehende Mails pro Minute, womit der Rechner in 24 Stunden fast 2 Millionen eMails aussenden würde - bei 1000 Kontakten wären das bereits über 8,5 Millionen Spam-Mails von einem einzigen Computer aus

Die versendeten E-Mails können durch ihren Aufbau jedoch relativ leicht erkannt werden.

Betreff: Re: Details Re: Approved Re: Re: My details Re: Thank you! Re: That movie Re: Wicked screensaver Re: Your application Thank you! Your details	Anhang: your_document.pif document_all.pif thank_you.pif your_details.pif details.pif document_9446.pif application.pif wicked_scr.scr movie0045.pif
Nachrichtentext: See the attached file for details. Please see the attached file for details.

Hinweise:

• Der Wurm wird am 10. September 2003 deaktiviert. Der letzte Tag, an dem sich der Wurm verbreitet, ist also der 9. September 2003.
• Das oben genannte Deaktivierungsdatum bezieht sich allerdings lediglich auf die Massen-Mail-Routine, die Netzwerkverbreitungsaktivität und das Sammeln von E-Mail-Adressen. Das bedeutet, dass ein mit W32.Sobig.F@mm infizierter Computer auch nach dem Deaktivierungsdatum der Infektion weiterhin versucht, während des Auslösungszeitraums Aktualisierungen von der entsprechenden Liste mit Mater-Servern herunterzuladen. Vorherige Varianten von Sobig haben ein ähnliches Verhalten gezeigt.
• Am 22. August wurde bei mit Sobig.E und Sobig.F infizierten Systemen ausgehender UDP-Verkehr festgestellt. Die Ziel-IP-Adressen waren jedoch entweder nicht erreichbar, wurden vom Netz genommen oder enthielten keinen ausführbaren Inhalt, d.h. einen Link zu einer pornographischen Website.
• W32.Sobig.F@mm verwendet das sogenannte "E-Mail-Spoofing" (Fälschen von E-Mail-Adressen), wobei der Wurm eine beliebige Adresse auswählt, die er auf einem infizierten Computer findet.

• Entfernen Sie das Virus mit Ihrem Virenscanner.
• Benutzen Sie das Removal-Tool von Symantec
  www.symantec.de
• Händisches entfernen des Wurms (für PowerUser) :
  
  
  • Drücken Sie gleichzeitig STRG+ALT+ENTF
  • Wählen Sie auf Windows NT/2000/XP "Task-Manager" und klicken Sie auf die Registerkarte "Prozesse".
  • Suchen Sie in der Liste den Prozess winppr32.exe.
  • Klicken Sie auf den Prozess, um ihn zu markieren.
  • Klicken Sie auf die Schaltfläche "Prozess beenden" (auf Windows 95/98/Me "Task beenden").
  • Schließen Sie den Task-Manager.
  • Suchen Sie nach der Datei winppr32.exe im Windowsordner (normalerweise ist die Datei zu finden unter %windir%\winppr32.exe [ C:\WINNT\winppr32.exe oder C:\Windows\winppr32.exe ]) und löschen Sie die Datei.
    
    Unter Windows NT/2000/XP müssen Sie außerdem den folgenden Registrierungseintrag erstellen. Die Entfernung dieses Eintrags ist auf Windows 95/98/Me optional. Warnung über das Bearbeiten der Registrierung.
  • Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.
  • Bevor Sie die Registrierung bearbeiten, sollten Sie ein Backup erstellen. Sollten Sie sich nicht sicher sein, wenden Sie sich an Ihren Netzwerkadministrator. Durch nicht korrekte Änderungen der Windows-Registrierung kann es zu Systemfehlern kommen.
  • Suchen Sie unter HKEY_LOCAL_MACHINE den Eintrag:
    HKLM\Software\Microsoft\Windows\CurrentVersion\Run
    Markieren Sie im rechten Fensterbereich "TrayX" = %windir%\winppr32.exe /sinc
    Löschen Sie diesen Eintrag, sofern er vorhanden ist.
  • Suchen Sie unter HKEY_CURRENT_USER den Eintrag:
    HKCU\Software\Microsoft\Windows\CurrentVersion\Run
    Markieren Sie im rechten Fensterbereich "TrayX" = %windir%\winppr32.exe /sinc
    Löschen Sie diesen Eintrag, sofern er vorhanden ist.
  • Schließen Sie den Registrierungseditor.