Sober-Z macht sich mit Jauch und BKA breit

Mit einer Mischung aus Kriminalbeamten und Entertainern sorgt eine neue Sobervariante für erhöhten E-Mail-Traffic. Sober-Z alias W32.Sober.X@mm ist erstmals am heutigen Morgen gesichtet worden und hat sich bis zum Mittag weiter verbreitet. Er lockt mit deutschsprachigen Texten und nutzt Angst und Gier der Empfänger für seine Verbreitung: Wahlweise wird im E-Mail-Text eine Warnung des BKA wegen illegalen Filesharings oder eine Einladung zu Günter Jauchs Millionenschau vorgegaukelt.

Laut den Experten von Microworld hat die Betreffzeile einen der folgenden Inhalte:

Ihr Passwort
Account Information
SMTP Mail gescheitert
Mailzustellung wurde unterbrochen
Ermittlungsverfahren wurde eingeleitet
Sie besitzen Raubkopien
RTL: Wer wird Millionaer
Sehr geehrter Ebay-Kunde

Der E-Mail-Text taucht in folgenden Varianten auf:

Glueckwunsch: Bei unserer EMail Auslosung hatten Sie und weitere neun Kandidaten Glueck.
Sie sitzen demnaechst bei Guenther Jauch im Studio!
Weitere Details ihrer Daten entnehmen Sie bitte dem Anhang.
+++ RTL interactive GmbH
+++ Geschaeftsfuehrung: Dr. Constantin Lange
+++ Am Coloneum 1
+++ 50829 Koeln
+++ Fon: +49(0) 221-780 0 oder
+++ Fon: +49 (0) 180 5 44 66 99

Bei uns wurde ein neues Benutzerkonto mit dem Namen „Schnappi“ beantragt.
Um das Konto einzurichten, benoetigen wir eine Bestaetigung, dass die bei der Anmeldung angegebene e-Mail-Adresse stimmt.
Bitte senden Sie zur Bestaetigung den ausgefuellten Anhang an uns zurueck.
Wir richten Ihr Benutzerkonto gleich nach Einlangen der Bestaetigung ein und verstaendigen Sie dann per e-Mail, sobald Sie Ihr Konto benutzen koennen.
Vielen Dank,
Ihr Ebay-Team

Sehr geehrte Dame, sehr geehrter Herr,
das Herunterladen von Filmen, Software und MP3s ist illegal und somit strafbar.
Wir moechten Ihnen hiermit vorab mitteilen, dass Ihr Rechner unter der IP 114.138.230.67 erfasst wurde. Der Inhalt Ihres Rechner wurde als Beweismittel sichergestellt und es wird ein Ermittlungsverfahren gegen Sie eingleitet.
Die Strafanzeige und die Moeglichkeit zur Stellungnahme wird Ihnen in den naechsten Tagen schriftlich zugestellt.
Aktenzeichen NR.:#2876 (siehe Anhang)
Hochachtungsvoll
i.A. Juergen Stock
— Bundeskriminalamt BKA
— Referat LS 2
— 65173 Wiesbaden
— Tel.: +49 (0)611 – 55 – 12331 oder
— Tel.: +49 (0)611 – 55 – 0

Wie immer ist die Absender-Adresse gefälscht. Empfänger der Mails sind E-Mail-Adressen, die auf infizierten PCs gefunden wurden. Die im Anhang verpackte „.exe“-Datei fügt wie schon frühere Sober-Varianten Einträge in der Registry hinzu und versucht Kontakt zu diversen Servern aufzunehmen. Außerdem wird die eigene Festplatte nach fremden E-Mail-Adressen durchforstet. Führende Antiviren-Spezialisten haben inzwischen Updates gegen Sober-Z bereit gestellt.