WM-Tickets: Neuer PC-Virus

Marion · 2. Mai 2005

Habe ich gerade erhalten - Da ich keine WM-Tickets bestellt habe, ein für mich leicht zu durchschauendes Ding.

Aber wer welche bestellt hat... Der Anhang ist eine ZIP-Datei, Abesender "[email protected]"

Clever, clever....

Herzlichen Glueckwunsch,

beim Run auf die begehrten Tickets für die 64 Spiele der Weltmeisterschaft 2006 in Deutschland sind Sie dabei.

Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.

Ihr "ok2006" Team
St. Rainer Gellhaus

--- FIFA-Pressekontakt:
--- Pressesprecher Jens Grittner und Gerd Graus
--- FIFA Fussball-Weltmeisterschaft 2006
--- Organisationskomitee Deutschland
--- Tel. 069 / 2006 - 2600
--- [email protected]
--- [email protected]

Hi Marion ... hast du hier schon mal geguckt?

Andreas · 2. Mai 2005

Darf ich mich geehrt fühlen, dass ich schon um 16:27 Uhr den neuen Virus erhielt, der erst um 16:00 erfunden wurde

?

AntiVir hat ihn bei mir erkannt als "Sober.gen".

das heißt ein generischer Virus, der anhand von Ähnlichkeiten als neue Abart des Sober-Altvaters benannt wird.

Das typische ist die Doppelendung im ZIP-Archiv:
Erst eine Endung mit .txt dann viele Leerzeichen, dann die echte Endung .exe

Windows zeigt in der Standardeinstellung die Endung *.exe nicht an, so dass bei einem normal installierten Windowssystem nur .txt angezeigt würde.

Mit vernünftigen Programmen wie Total Commander oder WinRAR wird die echte Endung aber immer angezeigt.

Wer die angebliche Textdatei dann noch startet, der ist schon super leichtsinnig.

Außerdem ist die Domain für die Fußballtickets doch irgendwas mit *.com - und nicht fifa.de!

Nachtrag
der newsticker von heise meldet weitere Varianten der Betreffzeile:

02.05.2005 18:40
<< Vorige | Nächste >>
Sober-Wurm tarnt sich als Benachrichtung zur WM-Ticket-Auslosung

Seit wenigen Minuten kursiert eine neue Version des Sober-Wurms, die unter anderem als eine in deutsch verfasste Benachrichtigung über ein gewonnenes Ticket zur Fußball-WM 2006 daherkommt. Daneben tragen die Nachrichten auch Betreffzeilen wie: "Ich bin's, was zum Lachen", "Mail-Fehler", "Ihr Passwort" und "Ihre E-Mail wurde verweigert." Die Absenderadressen der Mails sind wie üblich gefälscht.

Bislang erkennen ihn nur wenige Virenscanner anhand einer generischen Signatur. Im Anhang der Mails befinden sich ZIP-Archive, in denen sich der Wurm (Winzipped-Text_Data, autoemail.txt und weitere) als PIF, EXE oder mit einer anderen Endung für ausführbare Dateien befindet. Ob der Schädling sich nur verbreitet oder auch eine Schadfunktion in sich trägt, konnte noch nicht festgestellt werden.

Anwender sollten auf keinen Fall verdächtige Anhänge öffnen und bei allen unverlangt zugesandten Mails größte Vorsicht walten lassen. Weitere Hinweise zum Schutz vor Viren und Würmern finden Sie auf den Antivirus-Seiten von heise Security. Der c't-Emailcheck gibt detaillierte Hinweise zu typischen Gefahren bei E-Mails und welche Einstellungen vorgenommen werden sollten. (dab/c't)

Zum Vergrößern anklicken....

Andreas · 2. Mai 2005

nochmal ich:
Das Ding scheint sich wie blöd zu vermehren.
Ich habe innerhalb weniger Minuten vier emails mit dem Wurm erhalten:

Subject: Ich bin's, was zum lachen

Text: Nun sieh dir das mal an!
Was ein Ferkel ....
Anhang:LOL.zip

Absender: Service@ t-systems.com
Subject: FwD: Ihr Passwort
Text: Passwort und Benutzer-Informationen befinden sich in der beigefuegten Anlage.
*-*

*-* MailTo: [email protected]
**** AntiVirus-System: Kein Virus erkannt
**** "GMX" AntiVirus Service
**** WebSite:

Anhang:t-systems_PassWort-Info.zip

Zu erkennen an der Größe von 73 kB ...

Wie viele blöde PC-Nutzer es doch gibt. Das ist doch echt eine der einfachsten Verhaltensregeln, dass man keine *.exe-Dateien ausführt, die per email eintrudeln...

Und wie blöd, dass Microsoft jahrelang Betrübssysteme auslieferte, die standardmäßig eine Datei wie
huhuichbineinwurm.txt_________ .exe
als
huhuichbineinwurm.txt
anzeigen

Nachtrag

hat ein Update rausgebracht.
Aktuelles Update der Virensignatur (VDF
VDF-Version: 6.30.00.151
Datum: 02.05.2005
Uhrzeit: 22:18
Der Wurm wird jetzt als Sober.P erkannt.
(Erkannt als Schädling wurde er ja vorher auch schon, aber nun hat er einen eigenen Namen.)
Meine Anerkennung und mein Dank an die armen Programmierer bei AntiVir, die von 16.00 Uhr bis 22:18 Uhr Überstunden machen mußten, um das Update fertig zu stellen. Bei

wird gerade darüber diskutiert, ob der Wurm von der Uni Hannover aus losgeschickt wurde...
Muß ja echt nicht sein, die Welt mit Würmern zu verseuchen...

Spell_2103 · 3. Mai 2005

Ich habs auch bekommen und gleich gelöscht, da ich keine Tickets bekommen habe, hab ich die email erst garnicht geöffnet.

Bulldog Quinto · 3. Mai 2005

Habe ich heute morgen auch mehrfach bekommen. Habe auch keine Tickets bestellt - deshalb auch schnell gecheckt, dass es ein Virus ist.

Aber ich denke, es werden viele Leute drauf reinfallen, die Tickets bestellt haben. Leider.

bones · 3. Mai 2005

17 (!!!) Stück *grrr* :sauer:

LG
Mareike

Hannibal · 3. Mai 2005

Ich bekomm den Sober im Mom auch mehrmals täglich mit der Adresse meines Tel. Anbieters als zip Datei.

Andreas · 3. Mai 2005

Ich hab bislang 11 im Postfach und 6 bei GMX per Filter aussortiert.

Alles mit Absender *@fifa.de oder *@ok2006.de sortier ich schon aus, es bleiben aber noch einige übrig.

Bislang habe ich diese Liste mit Betreffzeilen (alfabetisch)

FwD: Glueckwunsch: Ihr WM Ticket
FwD: Ich bin's, was zum lachen

FwD: Ihr Passwort
FwD: Ihr Passwort
FwD: Ihre E-Mail wurde verweigert
FwD: WM Ticket Verlosung
FwD: WM-Ticket-Auslosung
Glueckwunsch: Ihr WM Ticket
Ich bin's, was zum lachen

Ihr Passwort
Ihre E-Mail wurde verweigert.
Mail-Fehler!
Re: mailing error
Re: Registration Confirmation
Re: Your email was blocked
Re: Your Password
WM Ticket Verlosung
WM-Ticket-Auslosung

Hat jemand noch zusätzlich Betreffzeilen?

Hannibal · 4. Mai 2005

mailing error von Admin*at*schleswig-holstein.de

und der Witz ist, die Nachricht geht an FreeMail*at*nefkom.net, hat also mit meiner E-Mehl Addy nix zu tun.
In der Anlage ist die zip Datei mit 53,8 (error-mail_info.zip) drin, beim checken erkennt es den Sober.

Andreas · 4. Mai 2005

ich hab seit gestern abend zweimal "Ihre E-Mail wurde verweigert" bekommen, da habe ich die Filterregel falsch erstellt. ich hatte "Ihre E-Mail wurde verweigert." (mit Punkt) eingegeben

einige Empängeradressen stimmen, andere sind falsch angegeben, wie z.B.
pj-bringsfan{at}gmx.de (kenn ich nicht!)

Erfolgreich ausgefiltert bei GMX wurden 7:
-----------------------------------------------------------------
Informationen zu den neuen Mails:

[H] Von: [email protected]
Betreff: WM-Ticket-Auslosung

[M] Von: [email protected]
Betreff: FwD: Glueckwunsch: Ihr WM Ticket

[M] Von: [email protected]
Betreff: WM-Ticket-Auslosung

[M] Von: [email protected]
Betreff: FwD: Glueckwunsch: Ihr WM Ticket

[M] Von: [email protected]
Betreff: WM-Ticket-Auslosung

[H] Von: [email protected]
Betreff: FwD: Glueckwunsch: Ihr WM Ticket

[F] Von: [email protected]
Betreff: Glueckwunsch: Ihr WM Ticket

Mannomann, dabei war das Thema Dutzende Male in den Radionachrichten und sogar in Tagesschau und heute-journal.

The Martin · 4. Mai 2005

Von denen habe ich auch dutzendweise gekriegt!

berny · 4. Mai 2005

ich hab nich einen bekommen... die wissen wohl, dass bei mir nix zu holen ist

Ginchen · 4. Mai 2005

Auch ich habe heute in der Zeit von 9:00 bis jetzt 23 Stück gelöscht :sauer:

Andreas · 4. Mai 2005

Nachdem ja verschiedene Anitivirus-Hersteller behauptet haben, der Wurm würde "nur" ungefragt mails verschicken, kommt erst jetzt heraus, dass er wohl doch nicht so harmlos ist:

04.05.2005 15:14

"WM-Ticket-Wurm" Sober.O schaltet Virenschutz ab

Der derzeit grassierende Wurm Sober.O hat nach Auskunft des Bundesamtes
für Sicherheit in der Informationstechnik (BSI) doch Schadfunktionen.
Das BSI hat seine Wurmbeschreibung[1] dazu aktualisiert. So schaltet er
einige Virenschutz-Programme ab und löscht insbesondere Dateien der
Anti-Viren-Produkte von Symantec. In der Folge ist die Aktualisierung
des Programms und der Signaturen nicht mehr möglich. Zudem verhindert
der Wurm den Start verschiedener Entfernungs-Tools, indem er nach dem
Namen solche Programme in der Prozessliste sucht.

Einige Hersteller haben darauf bereits reagiert und den Namen ihrer
Tools geändert. So hat etwa McAfee den Dateinamen seines Werkzeugs
Stinger kurzfristig auf ST1NGER.EXE umgestellt, in dem das "i" durch
eine "1" ersetzt ist. Die Idee fand das Internet Storm Center[2]
allerdings nicht so gut und wies McAfee darauf hin, dass auch Angreifer
solche Tricks etwa für Servernamen (paypa1.com) nutzten, um Anwender zu
verwirren. McAfee bietet Stinger nun als s-t-i-n-g-e-r.exe zum Download
an.

Zudem schaltet Sober die Windows XP-Firewall und das automatische
Update von Windows ab. Diese Schadensfunktion soll allerdings erst nach
einem Neustart des infizierten Computers zu bemerken sein. Ohne
funktionierende Firewall bieten PCs, die nicht über einen Router oder
ähnliches ans Internet angebunden sind, unter Umständen ein leichtes
Ziel für weitere Angriffe.

Dass Sober.O zu einem recht massiven Wurm-Ausbruch führte, belegen auch
die Zahlen des BSI. So fing man im Bereich der Bundesbehörden seit dem
gestrigen Dienstag rund 400.000 infizierte Mails ab.

Für weitere Hinweise zu dem neuen Mass-Mailing-Wurm siehe:

Ausbruch von Sober.O beeinträchtigt Systeme des
WM-Organisationskomitees[3]
Sober-Wurm tarnt sich als Benachrichtung zur WM-Ticket-Auslosung[4]
Beschreibung Sober.O[5] des BSI
Beschreibung Sober.S[6] von Trend Micro
Beschreibung Sober.P[7] von F-Secure
Beschreibung Sober.N[8] von Sophos

(dab/c't)

URL dieses Artikels:

Links in diesem Artikel:
[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9] mailto:[email protected]

WM-Tickets: Neuer PC-Virus

Marion

Harry Hirsch™

SaSa22

Andreas

Anhänge

Andreas

Spell_2103

Bulldog Quinto

KSG-Kräuterhexe™

bones

KSG-Bullizist™

Hannibal

KSG-Verhüterli™

Andreas

Hannibal

KSG-Verhüterli™

Andreas

The Martin

KSG-Prinz Charming™

berny

KSG-Nummern-Boy™

Ginchen

Andreas

Diese Themen könnten dich auch interessieren: