Neuer Sober-Wurm verbreitet sich schnell [3.Update]

Seit heute morgen ist eine neue Variante des Mass-Mailing-Wurms Sober unterwegs, die sich mit hoher Geschwindigkeit verbreitet. Bislang erkennen ihn nur die wenigsten Virenscanner. Sober.I kommt als .com-, .bat, .scr- oder pif-Anhang in Mails, deren deutsche Betreffzeilen und Inhaltstexte stark variieren. Zudem tarnt er sich als unverdächtigte .doc-, xls- und txt-Datei, der man auf den ersten Blick nicht ansieht, dass dahinter eine ausführbare Datei steckt. Zusätzlich verschickt er sich von infizierten Windows-PCs als ZIP-Archiv. Weitere Einzelheiten zu dem Sober-Wurm sind bislang kaum verfügbar, H+BEDV hat eine rudimentäre Beschreibung auf seinen Seiten veröffentlicht.

Die Hersteller von Antivirensoftware arbeiten daran, Beschreibungen und neue Signaturen zur Verfügung zu stellen. Bis dahin sollten Anwender keine Anhänge in ihren Mails öffnen. Weitere Hinweise zum Schutz vor Viren und Würmern und zum sicheren Umgang mit E-Mail finden sie auf den Antiviren-Seiten von heise Security.

Update
Immer mehr Hersteller von Antivirensoftware haben reagiert und Signaturen bereit gestellt. Trend Micro, Panda Software, H+BEDV, F-Secure und Kaspersky erkennen den Wurm bereits. McAfee will seine Signaturen in Kürze veröffentlichen. Symantec stellt nun doch sofort aktuelle Signaturen über den Live Update zur Verfügung, nachdem zunächst geplant war, diese erst am 24. November anzubieten. Im Intelligent Update waren die Signaturen bereits aktualisiert .

2. Update
Andreas Marx von AV-Test hat heise Security die Ergebnisse seiner Tests zur Verfügung gestellt, welcher Scanner den Wurm wann erkannte (19.11.2004).

F-Prot          07:33   W32/Clonz.A
AntiVir         07:48   Worm/Sober.I (exact)
ClamAV          08:07   Worm.Sober.I
Panda           08:26   W32/Sober.I.worm
Kaspersky       08:31   Trojan.Win32.VB.qa
Ikarus          08:32   I-Worm.Sober.gen
Norman          08:36   Sober.H@mm
Bitdefender     08:50   Win32.Clonz.A@mm
Avast           09:16   Win32:Sober-H [Wrm]
F-Secure        09:16   Trojan.Win32.VB.qa
Quickheal       09:17   W32.Sober.I
AVG             09:28   I-Worm/Sober.I
Trend Micro     10:09   WORM_SOBER.I
Command         10:26   W32/Sober.J@mm (exact)
Sophos          10:35   W32/Sober-I
Virusbuster     10:40   I-Worm.Sober.I
Dr. Web         10:55   Win32.HLLM.Sober
eTrust (VET)    11:13   Win32.Sober.I
Fortinet        11:56   W32/Sober.I-mm
McAfee          12:09   W32/Sober.j@MM
Symantec        12:41   W32.Sober.I@mm
eTrust (CA)     15:13   Win32/Sober.I.Worm
RAV             16:40   Win32/Sober.I@mm

BETA-Signaturen
F-Secure        08:45   Trojan.Win32.VB.qa
Panda           08:48   W32/Sober.I.worm
McAfee          08:59   W32/ZipMod@MM
Trend Micro     10:09   WORM_SOBER.I
Symantec        10:41   W32.Sober.I@mm

Siehe dazu auch: (dab)

• Beschreibung Sober.I vom BSI
• Beschreibung Sober.I von H+BEDV
• Beschreibung Sober.I von Trend Micro
• Beschreibung Sober.I von Panda Software