发现： 2005 年 11 月 19 日

更新： 2007 年 2 月 13 日 1:03:34 PM

别名： CME-681, WORM_SOBER.AG [Trend Micro], W32/Sober-{X, Z} [Sophos], Win32.Sober.W [Computer Associ, Sober.Y [F-Secure], W32/Sober@MM!M681 [McAfee], W32/Sober.AA@mm [Norman], Win32/Sober.Z@mm [Microsoft]

类型: Worm

感染长度： 55,390 bytes

受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

W32.Sober.X@mm 是一种群发邮件蠕虫，它将自身作为电子邮件附件发送至从受到威胁的计算机处收集的地址。 它使用自己的 SMTP 引擎进行传播。 该电子邮件可能使用英语或德语。

防护

* 病毒定义（每日 LiveUpdate™） 2005 年 11 月 19 日

* 病毒定义（每周 LiveUpdate™） 2005 年 11 月 22 日

* 病毒定义（智能更新程序） 2005 年 11 月 19 日

* 病毒定义（LiveUpdate™ Plus） 2005 年 11 月 19 日

威胁评估

广度

* 广度级别： Medium

* 感染数量： More than 1000

* 站点数量： More than 10

* 地理位置分布： Low

* 威胁抑制： Easy

* 清除： Moderate

损坏

* 损坏级别： Medium

* 大规模发送电子邮件： Sends itself as an email attachment to addresses gathered from the compromised computer.

* 导致系统不稳定： Mass-mailing of emails may cause system instability.

* 危及安全设置： Overwrites the file Luall.exe with a copy of itself so that the worm will run each time that LiveUpdate is launched.

分发

* 分发级别： High

* 电子邮件的主题： Varies.

* 附件名称： Zip file name Varies, but will contain the following file: File-packed_dataInfo.exe

* 端口： TCP port 37

执行 W32.Sober.X@mm 时，此蠕虫会执行以下操作：

1. 显示包含以下文字的消息：

Title: WinZip Self-Extractor

Body: Error in packed Header

2. 将自身复制为 %Windir%\\<随机文件名>.exe。

* %Windir%\\csrss.exe

* %Windir%\\WinSecurity\\services.exe

* %Windir%\\WinSecurity\\smss.exe

注意：%System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\\Windows 或 C:\\Winnt.

3. 创建下列MIME-encoded .zip文件将包含该蠕虫的副本:

* %Windir%\\WinSecurity\\socket1.ifo

* %Windir%\\WinSecurity\\socket2.ifo

* %Windir%\\WinSecurity\\socket3.ifo

4. 创建下列无恶意的文件:

* %Windir%\\WinSecurity\\mssock1.dli

* %Windir%\\WinSecurity\\mssock2.dli

* %Windir%\\WinSecurity\\mssock3.dli

* %Windir%\\WinSecurity\\winmem1.ory

* %Windir%\\WinSecurity\\winmem2.ory

* %Windir%\\WinSecurity\\winmem3.ory

* %Windir%\\WinSecurity\\sysonce.tst

* %Windir%\\WinSecurity\\starter.run

* %Windir%\\WinSecurity\exttroj.tro

* %System%\\bbvmwxxf.hml

* %System%\\langeinf.lin

* %System%\onrunso.ber

* %System%\\rubezahl.rub

* %System%\\filesms.fms

* %System%\\runstop.rst

注意：%System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\\Windows\\System (Windows 95/98/Me)、C:\\Winnt\\System32 (Windows NT/2000) 或 C:\\Windows\\System32 (Windows XP)。

5. 将值：

" Windows" = "%Windir%\\WinSecurity\\services.exe"

添加至以下注册表子键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

这样，W32.Sober.X@mm 会在每次 Windows 启动时运行。

6. 将值：

"_Windows" = "%Windir%\\WinSecurity\\services.exe"

添加至以下注册表子键：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

这样，W32.Sober.X@mm 会在每次 Windows 启动时运行。

7. 检查网络连接,方法是与 NTP 服务器的端口联系,或连接到以下域之一:

* Rolex.PeachNet.edu

* clock.psu.edu

* cuckoo.nevada.edu

* gandalf.theunixman.com

* nist1.datum.com

* ntp-1.ece.cmu.edu

* ntp-2.ece.cmu.edu

* ntp-sop.inria.fr

* ntp.lth.se

* ntp.massayonet.com.br

* ntp.metas.ch

* ntp.pads.ufrj.br

* ntp0.cornell.edu

* ntp1.arnes.si

* ntp1.theremailer.net

* ntp2.ien.it

* ntp2b.mcc.ac.uk

* ntp2c.mcc.ac.uk

* ntp3.fau.de

* ntps1-1.uni-erlangen.de

* ptbtime2.ptb.de

* rolex.usg.edu

* st.ntp.carnet.hr

* sundial.columbia.edu

* swisstime.ethz.ch

* tick.greyware.com

* time-a.timefreq.bldrdoc.gov

* time-ext.missouri.edu

* time.chu.nrc.ca

* time.ien.it

* time.kfki.hu

* time.mit.edu

* time.nist.gov

* time.nrc.ca

* time.windows.com

* time.xmission.com

* timelord.uregina.ca

* tock.keso.fi

* utcnist.colorado.edu

* vega.cbk.poznan.pl

* time.windows.com

8. 从具有以下扩展名的文件中收集电子邮件地址：

* .abc

* .abd

* .abx

* .adb

* .ade

* .adp

* .adr

* .asp

* .bak

* .bas

* .cfg

* .cgi

* .cls

* .cms

* .csv

* .ctl

* .dbx

* .dhtm

* .doc

* .dsp

* .dsw

* .eml

* .fdb

* .frm

* .hlp

* .imb

* .imh

* .imh

* .imm

* .inbox

* .ini

* .jsp

* .ldb

* .ldif

* .log

* .mbx

* .mda

* .mdb

* .mde

* .mdw

* .mdx

* .mht

* .mmf

* .msg

* .nab

* .nch

* .nfo

* .nsf

* .nws

* .ods

* .oft

* .php

* .phtm

* .pl

* .pmr

* .pp

* .ppt

* .pst

* .rtf

* .shtml

* .slk

* .sln

* .stm

* .tbb

* .txt

* .uin

* .vap

* .vbs

* .vcf

* .wab

* .wsh

* .xhtml

* .xls

* .xml

该蠕虫会避免将自身发送至包含以下字符串的地址：

* -dav

* .dial.

* .kundenserver.

* .ppp.

* .qmail@

* .sul.t-

* @arin

* @avp

* @ca.

* @example.

* @foo.

* @from.

* @gmetref

* @iana

* @ikarus.

* @kaspers

* @messagelab

* @nai.

* @panda

* @smtp.

* @sophos

* @www

* abuse

* announce

* antivir

* anyone

* anywhere

* bellcore.

* bitdefender

* clock

* detection

* domain.

* emsisoft

* ewido.

* free-av

* freeav

* ftp.

* gold-certs

* google

* host.

* icrosoft.

* ipt.aol

* law2

* linux

* mailer-daemon

* mozilla

* mustermann@

* nlpmail01.

* noreply

* nothing

* ntp-

* ntp.

* ntp@

* office

* password

* postmas

* reciver@

* secure

* service

* smtp-

* somebody

* someone

* spybot

* sql.

* subscribe

* support

* t-dialin

* t-ipconnect

* test@

* time

* user@

* variabel

* verizon.

* viren

* virus

* whatever@

* whoever@

* winrar

* winzip

* you@

* yourname

9. 试图将其自身的副本发送至收集到的电子邮件地址。 该电子邮件可能使用英语或德语，并具有以下特征：

德语:

收件人: [SPOOFED]

主题：

以下项之一：

* Ihr Passwort

* Account Information

* SMTP Mail gescheitert

* Mailzustellung wurde unterbrochen

* Ermittlungsverfahren wurde eingeleitet

* Sie besitzen Raubkopien

* RTL: Wer wird Millionaer

* Sehr geehrter Ebay-Kunde

消息：

以下项之一：

* Ihre Nutzungsdaten wurden erfolgreich geaendert. Details entnehmen Sie bitte dem Anhang.

*** [http://]www.[DOMAIN NAME OF SENDER]

*** E-Mail: PassAdmin

* Bei uns wurde ein neues Benutzerkonto mit dem Namen

beantragt.

Um das Konto einzurichten, benoetigen wir eine Bestaetigung, dass die bei der Anmeldung angegebene e-Mail-Adresse stimmt.

Bitte senden Sie zur Bestaetigung den ausgefuellten Anhang an uns zurueck.

Wir richten Ihr Benutzerkonto gleich nach Einlangen der Bestaetigung ein und verstaendigen Sie dann per e-Mail, sobald Sie Ihr Konto benutzen koennen.

Vielen Dank,

Ihr Ebay-Team

* Sehr geehrte Dame, sehr geehrter Herr,

das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar.

Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP

erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.

Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.

Aktenzeichen NR.:#

(siehe Anhang)

Hochachtungsvoll

i.A. Juergen Stock

--- Bundeskriminalamt BKA

--- Referat LS 2

--- 65173 Wiesbaden

--- Tel.: +49 (0)611 - 55 - 12331 oder

--- Tel.: +49 (0)611 - 55 - 0

* Glueckwunsch: Bei unserer EMail Auslosung hatten Sie und weitere neun Kandidaten Glueck.

Sie sitzen demnaechst bei Guenther Jauch im Studio!

Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.

+++ RTL interactive GmbH

+++ Geschaeftsfuehrung: Dr. Constantin Lange

+++ Am Coloneum 1

+++ 50829 Koeln

+++ Fon: +49(0) 221-780 0 oder

+++ Fon: +49 (0) 180 5 44 66 99

附件：

以下项之一：

* [STRING 1].zip

* [STRING 1]-TextInfo.zip

* Email.zip

* Email_text.zip

* [STRING 2].zip

* Akte[STRING 2].zip

* [STRING 3].zip

* [STRING 3]_Text.zip

* Ebay.zip

* Ebay-User_RegC.zip

此处变量[STRING 1] 为下列项目之一

* Service

* Webmaster

* Postman

* Info

* Hostmaster

* Postmaster

* Admin

此处变量[STRING 2] 为下列项目之一

* Downloads

* BKA

* Internet

* Post

* Anzeige

* BKA.Bund

此处变量[STRING 3] 为下列项目之一

* Kandidat

* WWM

* Auslosung

* Casting

* Gewinn

* Info

* RTL-Admin

* RTL

* Webmaster

* RTL-TV

英语：

收件人: [SPOOFED]

主题：

以下项之一：

* Your Password

* Registration Confirmation

* smtp mail failed

* Mail delivery failed

* hi, ive a new mail address

* You visit illegal websites

* Your IP was logged

* Paris Hilton & Nicole Richie

消息：

以下项之一：

* Account and Password Information are attached!

Protected message is attached!

=====dHSd9SZd;99zZ((EEEA

=====dw1W)6ZdzSL91WR

***** Go to: [http://]www.[DOMAIN NAME OF SENDER]

***** Email: postman

* This is an automatically generated Delivery Status Notification.

SMTP_Error []

I'm afraid I wasn't able to deliver your message.

This is a permanent error; I've given up. Sorry it didn't work out.

The full mail-text and header is attached!

* hey its me, my old address dont work at time. i dont know why?!

in the last days ive got some mails. i' think thaz your mails but im not sure!

plz read and check ...

cyaaaaaaa

* Dear Sir/Madam,

we have logged your IP-address on more than 30 illegal Websites.lease answer our questions!

The list of questions are attached.

Yours faithfully,

Steven Allison

Department Office Admin Mail Post

===dkX XbW6dxPbXWPdSDd@R2XL9)CW9)SRd?kx@?

===dt4OduXRRL062WR)Wd.2XRPX,dKa,dnSS1d4vvy

*** Federal Bureau of Investigation -FBI-

*** 935 Pennsylvania Avenue, NW, Room 3220

*** Washington, DC 20535

++++ Central Intelligence Agency -CIA-

++++ Office of Public Affairs

++++ Washington, D.C. 20505

++++ phone: (703) 482-0623

++++ 7:00 a.m. to 5:00 p.m., US Eastern time

* The Simple Life:

View Paris Hilton & Nicole Richie video clips , pictures & more ;)

Download is free until Jan, 2006!

Please use our Download manager.

附件：

以下项之一：

* reg_pass.zip

* reg_pass-data.zip

* mail.zip

* mail_body.zip

* mailtext.zip

* list[RANDOM CHARACTERS].zip

* question_list[RANDOM CHARACTERS].zip

* downloadm.zip

附件其中包含蠕虫副本,文件中的文件名将是:

File-packed_dataInfo.exe

建议

赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：

* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。

* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。

* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。

* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。

* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。

* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。

* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。

以下指导适用于所有最新和最近的 Symantec 防病毒产品（包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品）。

1. 禁用系统还原 (Windows Me/XP)。

2. 更新病毒定义。

3. 运行完整的系统扫描，并删除所有被检测为 W32.Sober.X@mm 的文件。

4. 删除添加到注册表的任何值。

有关每个步骤的详细信息，请参阅以下指导。

1. 禁用系统还原（Windows Me/XP）

如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。

Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。

此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。

有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：

o 如何禁用或启用 Windows XP 系统还原

o 如何禁用或启用 Windows Me 系统还原

注意：蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。

有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。

2. 更新病毒定义

赛门铁克安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：

o 运行 LiveUpdate（这是获取病毒定义的最简便方法）：这些病毒定义被每周一次（通常在星期三）发布到 LiveUpdate 服务器上，除非出现大规模的病毒爆发情况。要确定是否可通过 LiveUpdate 获取此威胁的定义，请参考病毒定义 (LiveUpdate)。

o 使用智能更新程序下载病毒定义：智能更新程序病毒定义会在工作日（美国时间，星期一至星期五）发布。应该从赛门铁克安全响应中心网站下载病毒定义并手动进行安装。要确定是否可通过智能更新程序获取此威胁的定义，请参考病毒定义（智能更新程序）。

现在提供智能更新程序病毒定义：有关详细说明，请参阅如何使用智能更新程序更新病毒定义文件。

3. 扫描和删除受感染文件

1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。

o Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。

o 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。

2. 运行完整的系统扫描。

3. 如果检测到任何文件被 W32.Sober.F@mm 感染，请单击“删除”。

注意：如果您的 Symantec 防病毒产品报告无法删除受感染的文件，Windows 可能正在使用该文件。要解决该问题，请在安全模式下运行扫描。有关指导，请参阅文档：如何以安全模式启动计算机。 以安全模式重新启动后，再次运行扫描。

删除文件之后，请以正常模式重新启动计算机，然后继续进行下一部分。

计算机重新启动时可能会显示警告消息，因为此时尚未完全清除威胁。请忽略这些消息，并单击“确定”。彻底完成清除操作之后，再重新启动计算机时不会出现这些消息。所显示的消息可能与此相似：

标题: [文件路径]

消息正文: Windows 找不到 [文件名]。请确保键入了正确的名称，然后重试。要搜索文件，请单击“开始”按钮，然后单击“搜索”。

4. 从注册表中删除值

重要信息： Symantec 强烈建议在进行任何更改之前先备份注册表。错误地更改注册表可能导致数据永久丢失或文件损坏。应只修改指定的子键。有关指导，请参阅文档：「如何备份 Windows 注册表」

1. 单击“开始”>“运行”。

2. 键入 regedit

3. 单击“确定”。

4. 导航至以下子键：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

5. 在右窗格中，删除以下值：

" WinStart" = "%Windir%\\Connection Wizard\\Status\\services.exe"

6. 导航至以下子键：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

7. 在右窗格中，删除以下值：

"_WinStart" = "%Windir%\\Connection Wizard\\Status\\services.exe"

8. 退出注册表编辑器。