Achtung!! Virus von [e-mail] **kein Hoax** WORM.SOBIG - 500 Beiträge pro Seite

[MilamarMOD [Mod]]

Hallo allerseits,

ich hab gerade mein Postfach gecheckt und bemerkt, dass ein neuer Virus sein Unwesen treibt, mich hat es fast erwischt, real time scan sei Dank nicht....den Anhang auf keinen Fall öffnen.

Hier Infos zu dem neuen Virus vonhttp://www.viruslist.com/eng/viruslist.html?id=58906:

I-Worm.Sobig



Sobig is a worm virus spreading via the Internet as an attachment to infected emails. It also downloads and sets up a Backdoor program.

The worm itself is a Windows PE EXE file about 64 KB in length (when compressed by TeLock), and written in Microsoft Visual C++.

Infected messages have the following characteristics:

From:
[e-mail]

Subject: (one of the following)
Re: Movies
Re: Sample
Re: Document
Re: Here is that sample

Attachment: (one of the following)
Movie_0074.mpeg.pif
Document003.pif
Untitled1.pif
Sample.pif

The worm activates from infected email only if a user clicks on the attached file. Once run it installs itself to the system, runs a spreading routine and payload.


Installing
While installing the worm copies itself to the Windows directory under the name WINMGM32.EXE and registers this file in the system registry auto-run key.

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
"WindowsMGM" = winmgm32.exe

HKCUSoftwareMicrosoftWindowsCurrentVersionRun
"WindowsMGM" = winmgm32.exe


Spreading via E-mail
To send infected messages the worm uses the SMTP server. The worm looks for files with the following extensions - *.WAB, *.DBX, *.HTM, *.HTML, *.EML, *.TXT scans them for email strings.


Spreading via Local Network
The worm enumerates network shares and tries to copy itself to one of the following folders under the name WINMGM32.EXE.

WindowsAll UsersStart MenuProgramsStartUp
Documents and SettingsAll UsersStart MenuProgramsStartup


Set-up for the Backdoor Program
The worm downloads a text file that contains a link to the executable PE file. The worm downloads it into the Windows directory under the DWN.DAT name and runs it.

The worm contains the following text strings:

B.ROOT-SERVERS.NET A.ROOT-SERVERS.NET
a+ %s
[e-mail]
[A-Za-z0-9]+[A-Za-z0-9_.-]+@(([A-Za-z0-9-])+[.])+[A-Za-z]+
*.* x: From
Page Top





Grüße

Mila



PS: Virenpattern der Scanner updaten, das Ding ist recht neu, wird noch nicht von allen Scannern erkannt

[schromic]

und warum hattest Du den Thread erst (selber?) gesperrt?

[MilamarMOD [Mod]]

...weil ich ein paar Tippfehler und inkorrekte Links entdeckt hab....

[berniek]

danke MILA

[ppeschel]

Danke für die Info bin zwar überzeugt das der schon älter oder abgewandelt ist aber man weis ja nie. Da hilft nur symantec oder noch besser LINUX

[MilamarMOD [Mod]]

...ich hab PC-Cillin und der hat das Ding weggehauen, kam an 6 eMail-Accounts von mir gleichzeitig an das Ding...ich hab jetzt meinen Spam-Filter gleich auf [e-mail] erweitert, so erwischt mich der zumindest nicht mehr so einfach

[JANOL]

Hab diesen verdammten Virus auch schon in meinem Mailkasten gehabt! Wer macht bloß sowas!!!

Aber mein Virusprogramm hat alles erkannt! Ätsch

[ppeschel]

Script-kiddies!!!, selbst ein "Nichtprogrmmierer" der gerade mal Windows selbst installieren kann, kann die Dinger im Baukasten zusammenschieben, such doch mal in einer Metasuchmaschine nach "virustoolkit" und nimm dir 2 Tage Zeit...

Ist zum heulen ich weis aber zum Glück ist die Virensoftware so weit, dass abgewandelte Viren auch erkannt werden. Wirkliche Neuerungen werden nur von Profis geschrieben obwohl jeder Programmierer dazu in der Lage ist.

[daq]

Ist dieser Virus immer noch nicht ausgelutscht ... hatte den schon vor 3-4 Wochen in meiner Mailbox.

[Baertel]

Ich hatte vor ca. 2 Wochen ne Mail in meinem
YAHOO Postfach von bigboss...

Auch mit Anhang aber zum Glück gibts da den Virenscanner vor dem Öffnen der Dokumente/Anhänge....

Shit Dreckskram....


Wünsch euch nen schönen Tag

Baertel