آشنایی با ویروس Sober

Sober یک کرم ایمیل است که از طریق فرستادن تکنیک mailing در Worm ها پخش و زیاد می شود .این کرم پیغامی به زبانهای ایگلیسی و آلمانی به ایمیل کاربران می فرستد ، برای همین نمی توان تشخیص داد که نویسنده …

Sober یک کرم ایمیل است که از طریق فرستادن تکنیک mailing در Worm ها پخش و زیاد می شود .این کرم پیغامی به زبانهای ایگلیسی و آلمانی به ایمیل کاربران می فرستد ، برای همین نمی توان تشخیص داد که نویسنده آن آلمانی یا انگلیسی است .

Sober برای اجرای خود اخطار های ایمنی را به کاربران نشان می دهد . این کرم از ضمیمه هایی به نام های Anti_Virusdoc.pif و Check Patch.bat و غیره که در آخر این مقاله لیست کامل این فایل ها را ارائه شده است ، استفاده می کند .

جزئیات توصیف :

این کرم توسط UPX پکیج شده و با زبان برنامه نویسی VB طراحی شده است و در درون خود از یک SMTP برای ارسال میل ها استفاده می کند .

نصب شدن بر روی سیستم :

پس از فعال شدن این برنامه در رجیستری ویندوز این تغییرات ایجاد می شود :

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

یا[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

این کلید ها برای باز خوانی بدنه کرم است که بعضی اوقات ویروس کپی هایی از خود را در این مکان ها به این اسم فایل ها صادر می کند :

%SysDir%\similare.exe

%SysDir%\sysrunll.exe

این کرم قادر است در Clinte های زیر به راحتی فعالیت کرده و پخش شود :

X-Mailer: Microsoft Outlook Express ۶.۰۰.۲۶۰۰.۰۰۰۰

X-Mailer: Microsoft Outlook Express ۵.۰۰.۳۰۱۸.۱۳۰۰

X-Mailer: Safety_Mail Server

X-Mailer: Microsoft Outlook IMO, Build ۹.۰.۲۴۱۶ (۹.۰.۲۹۱۰.۰)

X-Mailer: Microsoft Outlook IMO, Build ۹.۰.

نحوه پخش شدن در ایمیل ها :

این کرم ایمیلی را با Subjects های زیر در زبان آلمانی می فرستد :

Neuer Virus im Umlauf!

Back At The Funny Farm

Sie versenden Spam Mails (Virus?)

Ein Wurm ist auf Ihrem Computer!

Langsam reicht es mir

Sie haben mir einen Wurm geschickt!

Hi Schnuckel was machst du so ?

VORSICHT!!! Neuer Mail Wurm

Re: Kontakt

RE: Sex

Sorry, Ich habe Ihre Mail bekommen

Hi Olle, lange niks mehr geh

Re: lol

Viurs blockiert jeden PC (Vorsicht!)

berraschung

Ich habe Ihre E-Mail bekommen !

Jetzt rate mal, wer ich bin !?

Neue Sobig Variante (Lesen!!)

Ich Liebe Dich

و در ربان اتگلیسی با موضوع های زیر میل ارسال می شود :

Congratulations!! Your Sobig Worms are very good!!!

You are a very good programmer!

Yours faithfully

Odin alias Anon

Odin_Worm.exe

New internet virus!

You send spam mails (Worm?)

A worm is on your computer!

You have sent me a virus!

Hi darling, what are you doing now?

Be careful! New mail worm

Re: Contact

Sorry, I۰۳۹;ve become your mail

Hey man, long not see you

Viurs blocked every PC (Take care!)

Surprise

I۰۳۹;ve become your mail!

Advise who I am!

New Sobig-Worm variation (please read)

I love you (I۰۳۹;m not a virus!)

I permanently get Spam-Mails from you and inside is a virus!!

You should remove these thing.

ضمیمه این میل ها که حاوی بدنه ویروس است ، عبارتند از:

AntiVirusDoc.pif

Check-Patch.bat

Screen_Doku.scr

Removal-Tool.exe

Perversionen.scr

CM-Recover.com

Bild.scr

schnitzel.exe

robot_mail.scr

RobotMailer.com

Privat.exe

AntiTrojan.exe

Mausi.scr

NackiDei.com

Anti-Sob.bat

security.pif

Funny.scr

Liebe.com

Odin_Worm.exe

check-patch.bat

anti_virusdoc.pif

perversion.scr

removal-tool.exe

screen_doc.scr

potency.pif

CM-Recover.com

pic.scr

playme.exe

robot_mailer.pif

private.exe

anti-trojan.exe

love.com

nacked.com

anti-Sob.bat

NAV.pif

funny.scr

little-scr.scr

اسم کرم :

Sober

نام مستعار :

I-Worm.Sober

نوع دیگر :

Sober.A