Virus mit Weltmeisterschaftskarten?

[Chief Wiggum]

Da trudelt doch eben eine Mail bei mir an:

Herzlichen Glueckwunsch,

beim Run auf die begehrten Tickets für die 64 Spiele der Weltmeisterschaft 2006 in Deutschland sind Sie dabei.

Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.

Ihr "ok2006" Team

St. Rainer Gellhaus

--- FIFA-Pressekontakt:

--- Pressesprecher Jens Grittner und Gerd Graus

--- FIFA Fussball-Weltmeisterschaft 2006

--- Organisationskomitee Deutschland

--- Tel. 069 / 2006 - 2600

--- Jens.Grittner@ok2006.de

--- Gerd.Graus@ok2006.de

**** AntiVirus: Kein Virus gefunden

**** "GMX" AntiVirus Service

**** WebSite: http://www.gmx.de

Header:

From - Mon May 02 20:11:43 2005

X-Account-Key: account4

X-UIDL: 6bca7f7f3918805cd587ed2048e8b267

X-Mozilla-Status: 0001

X-Mozilla-Status2: 10000000

Return-Path: <OK2006@fifa.de>

X-Flags: 0000

Delivered-To: GMX delivery to xxxxxxx@gmx.de

Received: (qmail invoked by alias); 02 May 2005 18:10:23 -0000

Received: from p508F4796.dip.t-dialin.net (HELO thtaw.de) [80.143.71.150]

  by mx0.gmx.net (mx043) with SMTP; 02 May 2005 20:10:23 +0200

From: OK2006@fifa.de

Date: Mon, 02 May 2005 17:56:26 GMT

Subject: *** GMX Spamverdacht *** Glueckwunsch: Ihr WM Ticket

Importance: Normal

X-Priority: 3 (Normal)

Message-ID: <5efca3ebd1c7b27ee6a8@fifa.de>

MIME-Version: 1.0

Content-Type: multipart/mixed; boundary="==3e58d4b6ca09.9daf8eab9d6"

Content-Transfer-Encoding: 7bit

To: xxxxxxx@gmx.de

X-GMX-Antivirus: -1 (not scanned, may not use virus scanner)

X-GMX-Antispam: 3 (Dynamic IP range)

X-GMX-UID: TQgEYpc9eSE5c4Z1LHQhaXN2IGRvb8Cc

X-NAS-Bayes: #0: 1.45604E-017; #1: 1

X-NAS-Classification: 0

X-NAS-MessageID: 1535[/code]


Im Anhang ein fifa_info-text.zip, das ein winzipped-text_data.txt(viele Leerzeichen).exe enthält, Grösse laut Winzip: 53554, modified 02.05.2006, 16:00.


Ist da irgendwas drüber bekannt? Ich kenn ja so manche Virenmails, aber die ist auch mir neu. Auch Google ist da nicht sehr aussagekräftig.

[Vampire]

Hast du wirklich bestellt???

Also sieht irgendwie schon verdächtig aus, der Text und der Anhang erst recht.

[Chief Wiggum]

Nein, ich habe nicht bestellt.

Dass das ein Virus ist, ist mir klar. Die *.exe habe ich nicht ausgeführt.

Vermutung könnte sein, dass das ein Sober.N ist, allerdings hat Sophos dazu noch ein "A detailed description will be published shortly" auf der entsprechenden Seite.

http://www.sophos.com/virusinfo/analyses/w32sobern.html

[Der Kleine]

Gucke mal da .

[Chief Wiggum]

Gucke mal da .

Aaah. Danke.

Na, der ist ja wirklich ganz frisch bei mir aufgeschlagen.

Sober.P nach McAfee: http://vil.nai.com/vil/content/v_133409.htm

[hades]

Auch Trend Micro hat ihn seit heute. Dort als Sober.S

http://de.trendmicro-europe.com/enterprise/vinfo/encyclopedia.php?VName=WORM_SOBER.S

[Crash2001]

Die mail habe ich jetzt schon mind 5x bekommen. Der der Mail angehängt ist eine zip-Datei die angeblich eine mit dem W32/Sober.gen@MM infizierte Datei winzipped-text_Data.txt enthält.

[Crash2001]

Habe soeben noch eine Mail mit dem gleichen Virus bekommen.

Betreff: Ich bin's, was zum lachen

Nun sieh dir das mal an!

Was ein Ferkel ....

Angehängt ist eine "lol.zip" die genau das selbe enthält.

Kam angeblich von jemandem von @member.aol.siol.dip.fr

[Vampire]

SWR3 hat auch gerade was dazu gesagt, war aber nicht brauchbar.

Nur so viel wie "Nicht öffnen..."

[UBAI]

Desweiteren geht eine Mail von Hostmaster@siemens.com rum.

Diese beinhaltet die Datei "automail-text.zip".

In der Zip-datei ist die Datei automail-text.txt .pif.

Es handelt sich um eines neue Version des Wurms Win32/Sober.

Die Mail beinhaltet folgenden Text:

----------

Folgende Fehler sind aufgetreten:


Fehler konnte nicht Explicit ermittelt werden


End Transmission

----------


Aus Datenschutzrechtlichen Gruenden, muss die vollstaendige E-Mail incl. Daten gezippt & angehaengt werden. Wir bitten Sie, dieses zu beruecksichtigen.


Auto ReMailer# [siemens]

[hades]

Beim BSI als Sober.O: http://www.heise.de/security/artikel/59239

Bei F-Secure als Sober.P: http://www.f-secure.com/v-descs/sober_p.shtml