Sober.J infiziert auf Deutsch

Neuer Versuch zur Schaffung eines Nazi-Spambot-Netzes?

Sober ist in einer neuen deutschen Variante wieder in der Wildbahn gesichtet worden. In eher dürftiger Diktion fordert er den User auf, die angehängte zip-, pif- oder exe-Datei doch zu öffnen und die ganzen ungelesenen Mails darin doch endlich zu beantworten. Anschließend versendet er sich mit der eigenen SMTP-Engine an alle im Rechner auffindbaren Mailadressen.

Sober verwendet einen deutschen und einen englischen Standardtext - deutscher Text wird automatisch für die auf dem Rechner gefundenen Mailadressen mit den Top Level Domains .de, .ch, .at, .com, .net sowie für alle Adressen bei gmx verwendet.

Diese überraschend weite Verwendung deutscher Anschreiben verwundert - gerade auf .com und .net kann man immer noch mit mehr englisch- als deutschsprachigen potentiellen Opfern rechnen. Was an Sober G erinnert, welcher letzten Sommer von den infizierten Rechnern aus Massen rechtsextremen Spams ins deutschsprachige Netz verschickte.

Noch spannender ist, dass der Wurm unter anderem die 0-Byte-Datei "Odin-Anon.ger" im Windows - Systemordner ablegt: eine Datei, die seinerzeit Sober G und H davon abhielt, den Rechner zu infizieren: man fragt sich, ob hier die mit dem neuen Wurm aufgebaute Infrastruktur eben nur für einen bestimmten zukünftigen Einsatz gedacht ist, der nicht von kommenden Folgewürmern aus Versehen wieder gestört werden soll.

Es bleibt abzuwarten, zu welchem Zweck der Wurm gerade verbreitet wird. Ob man nun die V14GRA- oder die NPD-Spamschleuder im Wohnzimmer verhindern will: entsprechendes Nichtöffnen von Attachments war auch schon vor Sober.J Pflicht.