Sobig.F verbreitet sich mit rasender Geschwindigkeit

Die gestern bekannt gewordene neue Variante des Computer-Wurmes Sobig, W32.Sobig.F@mm, verbreitet sich in explosionsartigem Tempo im Internet. Dies geht unter anderem aus aktuellen Aufzeichnungen der E-Mail-Sicherheitsexperten von MessageLabs, hervor. Innerhalb der letzten 24 Stunden liefen gut 350 000 mit dem Sobig-Wurm infizierte E-Mails über die Filter von MessageLabs. Auch auf dem Mailserver von teltarif.de laufen stündlich mehrere Hundert Sobig-Mails auf.

Auch das Bundesamt für Sicherheit und Informationstechnik (BSI) stuft die Verbreitungsgeschwindigkeit als hoch ein. Das BSI führt weiter aus, W32.Sobig.F@mm sende E-Mails mit einer eigenen SMTP-Maschine an E-Mail-Adressen, die er in Dateien mit den Endungen .wab, .dbx, .htm, .html, .eml, .txt, .hlp und .mht findet. Als Absender wird entweder admin@internet.com genutzt oder aber ein Absender aus einer auf dem Rechner gefunden E-Mail-Adressen. Es ist also nicht auszuschließen, dass auch infizierte E-Mails mit dem Absender @teltarif.de im Internet unterwegs sind.

Durch den Wurm verschickte E-Mails beinhalten den Nachrichtentext See the attached file for details. Please see the attached zip file for details, im Betreff nutzt Sobig.F verschiedene Bezeichnungen wie zum Beispiel:

• Re: Details
• Re: Approved
• Re: Re: My details
• Re: Thank You
• Re: That movie
• Re: Wicked screensaver
• Re: Your application
• Thank you!
• Your details

Gefährlich wird der Wurm aber erst durch die angehängte Datei, über die beim Öffnen ein Trojanisches Pferd auf dem Rechner installiert wird. Die angehängten Dateien haben ebenfalls verschiedene Bezeichnungen wie beispielsweise:

• application.zip
• application.pif
• details.zip
• details.pif
• document_9446.zip
• document_9446.pif
• document_all.zip
• document_all.pif
• movie0045.zip
• movie0045.pif
• thank_you.zip
• thank_you.pif
• your_details.zip
• your_details.pif
• your_document.zip
• your_document.pif
• wicked_scr.zip
• wicked_scr.scr

Bei E-Mails auch von vermeintlich bekannten bzw. vertrauenswürdigen Absendern sollte man in jedem Fall prüfen, ob der Text oder Nachricht auch zum Absender passt und ob die Anlage auch erwartet wurde. Der Wurm lädt aus dem Internet Dateien, die beim Ausführen dafür genutzt werden, den infizierten Rechner in einen SPAM-Relay-Server umzuwandeln. Inzwischen bieten diverse Hersteller von Anti-Viren-Software, beispielsweise F-Secure, Tools zur Entferung des Schädlings an. Nach Angaben des BSI verbreitet sich Sobig.F nur bis zum 9. September, anschließend deaktiviert er sich von selbst.