Rassistischer Spam und der Mail-Wurm Sober.G

An der derzeitigen Flut ausländerfeindlicher Schwachsinns-Mails sind allem Anschein nach Windows-PCs beteiligt, die mit dem E-Mail-Wurm Sober.G infiziert sind. Zeitgleich mit dem Beginn der Spam-Mails in den frühen Morgenstunden tendierte die Verbreitung von Sober.G über E-Mail gegen Null. Offenbar sind die infizierten PCs nun mit dem Versand der Spam-Mails beschäftigt. Dafür spricht auch die hohe Übereinstimmung der Absender-Domains der Wurm-Mails und der Spams-Mails, die Dial-In-Zugänge natürlich ausgenommen.

Sober.G verfügt über die Fähigkeit, von Servern bei home.arcor.de, people.freenet.de, home.pages.at, scifi.pages.at und free.pages.at die ausführbare Datei "doerkggg.exe" nachzuladen und zu starten. Bislang ist dies aber noch nirgendwo beobachtet worden. Auch war nicht bekannt, dass der Wurm damit zu einem bestimmten Zeitpunkt anfängt. Auf Systemen, auf denen die Datei "odin-anon.ger" vorhanden ist, installiert sich der Wurm gar nicht erst oder deinstalliert sich im nachhinein.

Sober.G erstellt die Datei "NoSpam.readme" im Windows-Systemverzeichnis mit dem Inhalt:

"Hallo liebe Antivirenhersteller und Co., 
Ich bin kein Spammer und ich verkaufe auch nicht meine eroberten Rechner an Spammer oder sonstiges!
Ich bin auch in keiner Hacker Szene zu gange, nichts dergleichen!
Und mein Alter liegt auch nicht zwischen 14 - 20. Ich bin einige Jahre über 30.
Wollte ich nur mal Klargestellt haben!

In diesem Sinne:
Odin alias Anon

Ob sich der Autor mit dem Pseudonym Odin auf den Gott der nordischer Mythologie beziehen will, ist bislang nicht eindeutig geklärt; allerdings bedient sich die rechtsradikale Szene gerne aus dem Fundus dieser Götterwelt und deren Sagen. In einigen Spam-Mails ist auch ein angeblicher Kommentar des Wurm-Autors enthalten. Wer wirklich hinter der Welle an Mails mit fragwürdigem Inhalt steckt, werden die Untersuchungen der nächsten Tage zeigen. Mittlerweile verbreiten sich zumindest nicht nur die Spam-Mails, sondern auch die Regeln, um den Spam aus dem eigenen Mailer herauszuhalten.

Zur Problematik der Nutzung virenverseuchter Rechner als Spam-Roboter siehe auch: (dab)

• Aufgedeckt: Trojaner als Spam-Roboter
• Ferngesteuerte Spam-Armeen, Nachgewiesen: Virenschreiber liefern Spam-Infrastruktur, c't 5/04, S. 18