.at
.ch
.de

También los envía en alemán si existe la cadena GMX en el dominio (ej: gmx.com, gmx.de, gmx.net). En cualquier otro caso, los envía en inglés.

Los nombres de los adjuntos varían.

Mensajes en inglés:

Asunto: [uno de los siguientes]

Alert! New Sober Worm!
Mail_delivery_failed
Paris Hilton, pure!
You visit illegal websites
Your new Password

De: [uno de los siguientes remitentes falsos]

Admin
FBI
hostmaster
Melanie@yahoo.com
Michele@yahoo.com
Officer
police
postmaster
register
security@microsoft.com
service
Web
webmaster

Texto del mensaje: [uno de los siguientes]

Ejemplo 1:

Thanks for your registration!
We have received your payment.


For more detailed information, read the attached text.

Ejemplo 2:

This is an automatically generated Delivery Status
Notification.

ESMTP Error []

I'm afraid I wasn't able to deliver your message.
This is a permanent error; I've given up. Sorry it
didn't work out.

The full mail-text and header is attached

Ejemplo 3:

More than 50 HOT Hilton Videos
More than 3000 Hilton picks

FREE Download until April, 2005

Make your own Download Account, it's free!
Further details are attached

Thanks & have fun ;)

Ejemplo 4:

ATTENTION!

Antivirus vendors are warning of a new variant of the
Sober virus discovered today that can delete the hard
disk.

Protection:
Download and read the zipped patch. It's very easy to
install!

Thanks for your cooperation!

--- (c)2005 Microsoft Corporation. All rights reserved
--- Microsoft Corporation
--- One Microsoft Way
--- Redmond, Washington 98052-6399

Ejemplo 5:

Dear Sir/Madam,

we have logged your IP-address on more than 40 illegal
Websites.

Important: Please answer our questions!
The list of questions are attached.

Yours faithfully,
M. John Stellford

++-++ Federal Bureau of Investigation -FBI-
++-++ 935 Pennsylvania Avenue, NW, Room 2130
++-++ (202) 324-3000

Datos adjuntos: [uno de los siguientes]

header_????.zip
help-text.zip
indictment_cit.zip
patch_????.zip
register.zip
register_????.zip
text.zip
text-????.zip
text_????.zip

Donde "????" es un número generado al azar.

El texto del mensaje puede agregar uno de los siguientes falsos reportes de antivirus:

Ejemplo 1:

Attachment: No Virus found

*-* Anti-Virus Service
*-* http://www.[dominio]

Ejemplo 2:

Mail-Scanner: No Virus detected

*-* Anti-Virus Service
*-* http://www.[dominio]

Ejemplo 3:

AntiVirus: Found to be clean

*-* Anti-Virus Service
*-* http://www.[dominio]

Mensajes en alemán:

Asunto: [uno de los siguientes]

EMail-Empfang fehlgeschlagen
Ihr neues Passwort
Ihr Passwort wurde geaendert
Paris Hilton Nackt!
Paris Hilton SexVideos
Seitensprung gesucht?
Vorsicht! Neuer Sober Wurm!

De: [uno de los siguientes remitentes falsos]

Hostmaster
Melanie@yahoo.com
Michele@yahoo.com
Postmaster
Register
security@microsoft.com
Service
Webmaster

Texto del mensaje: [uno de los siguientes]

Ejemplo 1:

## Diese E-Mail wurde automatisch generiert
## Aus Gruenden der Sicherheit, bekommen Sie diese E-Mail
## wenn Ihr aktuelles Benutzer- Passwort veraendert wurde

---------------

Ihr neues Passwort und weiter Informationen befinden
sich im beigefuegten Dokument.

**** Ein Service von
**** http://www.[dominio]
**** Mail: Help-Line

Ejemplo 2:

Vielen Dank, dass Sie sich bei registriert haben.
Der Betrag von ,- Euro ist erfolgreich auf unserem
Konto eingegangen.
Passwort, Benutzername und weitere wichtige
Informationen zu ihrem neuen Account
befinden sich im angehefteten Dokument.

Hochachtungsvoll
Silvia Hochberger

Ejemplo 3:

- System Mail -

Diese an ihnen gerichtete E-Mail, wurde in einem falschen
Format gesendet.
Der Betreff, Header und Text dieser Mail, wurde deshalb
separat in einer Text-Datei gespeichert und gezippt.

Vielen Dank fuer Ihr Verstaendnis
[System auto- mail]

Ejemplo 4:

Guten Tag,

mehr als 50 Videos,
Mehr als 1000 heisse Fotos
und mehr als 300 original Sounds von der kleinen Hilton
........ .

Alles frei zum Download, aber nur bis zum 01 April 2005 !!!

Weitere Details entnehmen Sie bitte dem vorliegendem
Dokument.

Vielen Dank!

Ejemplo 5:

Hallo,
wir hoffen das Ihnen die Betreffszeile unsere Mail
genug sagt.

Der Jugendschutz verbietet uns leider mehr Auskunft
ueber unser Angebot zu geben.
Informationen,,,, wie Sie sich bei uns anmelden koennen
befinden sich im beigefuegten Dokument.

Natuerlich ist die Anmeldung
Kostenlos!

Mehr als 2.5 Millionen registrierte Benutzer!!!
Da ist fuer jeden was dabei!

Auf Wiedersehen

Ejemplo 6:

Wichtige Information!

Eine neue Sober-Variante verbreitet sich derzeit im
Internet.
Wie seine Vorgaenger verschickt sich der Wurm von
infizierten Windows-Rechnern per E-Mail an weitere
Adressen.

Es wird deshalb empfohlen, das Patch-Tool auszufuehren
um sich vor diesem Wurm zu schuetzen bzw. diesen wieder
zu entfernen.

--- (c)2005 Microsoft Corporation. Alle Rechte vorbehalten
--- Vertretungsberechtigter: Juergen Gallmann
--- E-Mail Adresse: security@microsoft.com

Datos adjuntos: [uno de los siguientes]

Formular.zip
Patch-????.zip
PSW-Text.zip
Register-Info.zip
Tool.zip
zipped-mail.zip
zipped-text.zip

Donde "????" es un número generado al azar.

El texto del mensaje puede agregar uno de los siguientes falsos reportes de antivirus:

Ejemplo 1:

Anhang Scanner: Kein Virus enthalten

*-* Anti-Virus Service
*-* http://www.[dominio]

Ejemplo 2:

Mail Scanner: Kein Virus gefunden

*-* Anti-Virus Service
*-* http://www.[dominio]

Ejemplo 3:

AntiVirus System: No Virus found

*-* Anti-Virus Service
*-* http://www.[dominio]

El gusano solo se ejecuta cuando el usuario hace doble clic sobre el adjunto. Cuando ello sucede, abre el editor de texto por defecto (por ejemplo el bloc de notas), para hacer creer al usuario que se trata de un archivo inofensivo, mostrando un mensaje falso:

Text#674327:
------------
------------------------- %winzip CodeText Modul% is missing ---------------------- uP+hKpAAJQAUANi4QABsloM93weYEgr1tmyaZ
bf8Awg3GdxouA3WDLJOotEzJ

[etc...]

Cuando se ejecuta, el gusano crea tres copias de si mismo en la siguiente ubicación:

c:\windows\msagent\win32\csrss.exe
c:\windows\msagent\win32\smss.exe
c:\windows\msagent\win32\winlogon.exe

NOTA: La carpeta "c:\windows" puede variar de acuerdo al sistema operativo instalado ("c:\winnt" en NT, "c:\windows", en 9x, Me, XP, etc.).

También crea los siguientes archivos, los cuáles son utilizados para almacenar la lista de direcciones a las que se envía, y la versión comprimida del gusano en formato MIME para adjuntarse en los mensajes infectados:

c:\windows\msagent\win32\datamx1.dat
c:\windows\msagent\win32\datamx2.dat
c:\windows\msagent\win32\datamx3.dat
c:\windows\msagent\win32\goto1.dat
c:\windows\msagent\win32\goto2.dat
c:\windows\msagent\win32\goto3.dat
c:\windows\msagent\win32\zippedso1.ber
c:\windows\msagent\win32\zippedso2.ber
c:\windows\msagent\win32\zippedso3.ber

Ocasionalmente puede crear un archivo READ.ME conteniendo el siguiente texto:

Ist eine weitere Test-Version.
Lauft nur ein paar Tage!

In diesem Sinne:
Odin alias Anon

Crea las siguientes entradas para auto ejecutarse en cada reinicio de Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
_winsystem.sys = c:\windows\msagent\win32\smss.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
winsystem.sys = c:\windows\msagent\win32\smss.exe

El gusano utiliza su propio motor SMTP (Simple Mail Transfer Protocol), para enviarse en forma masiva.

Obtiene las direcciones de archivos con las siguientes extensiones:

.abc
.abd
.abx
.adb
.ade
.adp
.adr
.asp
.bak
.bas
.cfg
.cgi
.cls
.cms
.csv
.ctl
.dbx
.dhtm
.doc
.dsp
.dsw
.eml
.fdb
.frm
.hlp
.imb
.imh
.imh
.imm
.inbox
.ini
.jsp
.ldb
.ldif
.log
.mbx
.mda
.mdb
.mde
.mdw
.mdx
.mht
.mmf
.msg
.nab
.nch
.nfo
.nsf
.nws
.ods
.oft
.php
.phtm
.pl
.pmr
.pp
.ppt
.pst
.rtf
.shtml
.slk
.sln
.stm
.tbb
.txt
.uin
.vap
.vbs
.vcf
.wab
.wsh
.xhtml
.xls
.xml

Evita enviarse a direcciones cuyos nombres contengan algunas de las siguientes cadenas:

.dial.
.kundenserver.
.ppp.
.qmail@
.sul.t-
@arin
@avp
@ca.
@example.
@foo.
@from.
@gmetref
@iana
@ikarus.
@kaspers
@messagelab
@nai.
@panda
@smtp.
@sophos
@www
abuse
announce
antivir
anyone
anywhere
bellcore.
bitdefender
clock
-dav
detection
domain.
emsisoft
ewido.
freeav
free-av
ftp.
gold-certs
google
host.
iana-
iana@
icrosoft.
info@
ipt.aol
law2
linux
mailer-daemon
mozilla
mustermann@
nlpmail01.
noreply
nothing
ntp-
ntp.
ntp@
reciver@
secure
smtp-
somebody
someone
spybot
sql.
subscribe
support
t-dialin
test@
time
t-ipconnect
user@
variabel
verizon.
viren
virus
whatever@
whoever@
winrar
winzip
you@
yourname

Periódicamente, el gusano comprueba la existencia del archivo XCVFPOKD.TQA. Si existe, el gusano se auto desinstala de memoria. Si el mencionado archivo está presente en la carpeta System (o System32) de Windows antes de existir una infección, entonces el gusano no se instalará en dicho equipo.

Mientras versiones anteriores mantenían dos procesos activos en memoria, esta versión mantiene tres, para permanecer siempre residente. Si se elimina cualquiera de ellos, los demás crean un nuevo proceso. Algunos de los archivos copiados en el sistema se encargan de monitorear esto, y de crear de inmediato una nueva copia, por lo que la limpieza manual debe hacerse en modo a prueba de fallos (la herramienta de limpieza automática de NOD32 elimina eficazmente los tres procesos sin necesidad de ninguna acción extra).


Herramienta de limpieza automática:

Descargue y ejecute esta herramienta de NOD32 en su computadora, para una limpieza automática de la misma. Siga las instrucciones en pantalla.

http://www.nod32.it/cgi-bin/mapdl.pl?tool=Sober

Herramienta de limpieza (c) Future Time Srl


Reparación manual

Antivirus

Para borrar manualmente el gusano, primero actualice sus antivirus con las últimas definiciones, luego siga estos pasos:

1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:

Cómo iniciar su computadora en Modo a prueba de fallos.
http://www.vsantivirus.com/faq-modo-fallo.htm

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.

3. Borre todos los archivos detectados como infectados.


Borrado manual de los archivos creados por el gusano

Desde el Explorador de Windows, localice y borre la carpeta WIN32:

c:\windows\msagent\WIN32

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Borre también los mensajes electrónicos similares a los descriptos antes.


Editar el registro

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run

3. Haga clic en la carpeta "Run" y borre la siguiente entrada:

_winsystem.sys = c:\windows\msagent\win32\smss.exe

4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

5. Haga clic en la carpeta "Run" y borre la siguiente entrada:

winsystem.sys = c:\windows\msagent\win32\smss.exe

6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Información adicional

Mostrar las extensiones verdaderas de los archivos

Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:

1. Ejecute el Explorador de Windows

2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.

3. Seleccione la lengüeta 'Ver'.

4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.

5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.

En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.

En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.

6. Pinche en 'Aplicar' y en 'Aceptar'.


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP
http://www.vsantivirus.com/faq-winxp.htm


Publicado anteriormente:

VSantivirus No. 1690 Año 9, lunes 21 de febrero de 2005


Actualizaciones:

21/02/05 - 12:26 -0200 (Ampliación de la descripción)
21/02/05 - 12:26 -0200 (Descripción de mensajes)
21/02/05 - 12:26 -0200 (Alias: Sober.M)
21/02/05 - 12:26 -0200 (Alias: W32/Sober.l@MM)
21/02/05 - 12:26 -0200 (Alias: W32/Sober.M.worm)
21/02/05 - 12:26 -0200 (Alias: WORM_SOBER.K)
21/02/05 - 17:28 -0200 (Herramienta de limpieza)




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com