Nowy Sober atakuje

Informujemy o poważnej epidemii w sieci Internet, wywołanej przez intensywne rozprzestrzenianie się robaka pocztowego z rodziny Sober, który w klasyfikacji Dr.WEB otrzymał nazwę Win32.HLLM.Generic.345. Robak znany jest także jako W32/Sober.p@MM, WORM_SOBER.S, Win32.Sober.N, Sober.P.

Wg danych systemu globalnej statystyki wirusowej "Doctor Web", zaraz po swoim pojawieniu się w sieci, robak przejął ponad 20% zainfekowanego przez inne wirusy ruchu i zajął drugie miejsce w rankingu wirusowym, grożąc tym samym liderom "dziesiątki wirusowej" - przedstawicielom z rodziny Netsky.

Nowy Sober rozprzestrzenia się pocztą elektroniczną pod postacią wiadomości e-mail napisanych po angielsku lub niemiecku. Do propagacji wykorzystuje swój własny silnik SMTP.

Otrzymywane przez użytkowników wiadomości mają formę prośby o potwierdzenie hasła lub wiadomości potwierdzającej rejestrację. Załącznik dołączony do e-maila, może być w języku angielskim lub niemieckim i ma następujące nazwy:

LOL.zip
our_secret.zip
mail_info.zip
account_info.zip
autoemail-text.zip
_PassWort-Info.zip
Fifa_Info-Text.zip
okTicket-info.zip

Po przedostaniu się do systemu, robak wyświetla na ekranie monitora okno z komunikatem o prawdopodobnym błędzie w aplikacji WinZip. W katalogu systemowym oraz w katalogu Windows robak umieszcza dużą ilość plików, spośród których jego kopie to:

CSRSS.EXE
SERVICES.EXE
SMSS.EXE

Swój autostart robak zabezpiecza poprzez wprowadzenie danych

_WinStart = C:\WINDOWS\Connection Wizard\Status\services.exe

do kluczy rejestru

HKCU\Software\Microsoft\Windows\Current Version\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Jedynym destrukcyjnym działaniem robaka jest to, że usuwa lub nadpisuje swoją kopią niektóre pliki w katalogu Symantec.

Zalecamy dużą ostrożność w stosunku do podejrzanych e- maili. Nie należy otwierać listów z niepewnego źródła, jeżeli zawierają one podejrzane załączniki.

Oprócz tego, wszystkim tym, którzy do tej pory nie stosowali antywirusa, lub są przekonani, że ich antywirus nie pracuje wydajnie, zalecamy skorzystanie z nowej bezpłatnej usługi Dr.WEB i pobranie z naszej strony pakietu "expresowe skanowanie systemu" CureIT!.

Natychmiast po uruchomieniu pakietu skaner antywirusowy Dr.WEB sprawdzi komputer pod względem obecności wirusów i w przypadku ich wykrycia, natychmiast je usunie.

Źródło: drweb32.pl