Home / malware

PDF

Win32.Sober.F@mm

First posted on 21 November 2011.
Source: BitDefender

Aliases :

There are no other names known for Win32.Sober.F@mm.

Explanation :

The worm comes by mail in German or English language.

The message body is one of:
I was surprised, too! :-( Who could suspect something like that?

All OK :) see, what i've found!

hi its me i've found a shity virus on my pc. check your pc, too! follow the
steps in this article. bye

I've told you!:-) sometime I grab your passwords!

I hope you accept the result! Follow the instructions to read the message.
Please read the document

Registration confirmation
Confirmation
Your Password
Your mail account
Your password was changed successfully.
Protected message is attached.
++++ Service: http://www.
++++ Mail To: User-info

*** Auto Mail Delivery System ***
67.28.114.32_failed_after_I_sent_the_message./Remote_host_said
:_554_delivery_error:_dd_Sorry_your_message_cannot_be_delivered.
_This_account_has_been_disabled_or_discontinued_[#102]._-_mta134.mail.dcn.com
** End of Transmission The original message is a separate attachment.
--- Web: http://www.
--- Mail To: UserHelp

Read the attachment for details.
Bad Gateway: The message has been attached.
+++ A service of +++ http://www. Mail: home

The message has been attached.

Database #Error -- Partial message is available! -- Error: llegal signs in
Mail-Routing -- Mail Server: ESMTP VX32.9 Version Betha Alpha

Anybody use your accounts! For further details see the attachment.

I have received your document. The corrected document is attached. greets corrected_text-file

Ich war auch ein wenig Wer konnte so etwas ahnen!? Lese selbst

Alles klaro bei dir? Schau mal was Ich gefunden habe!

Meinst Du das wirklich?

Sieh mal nach ob du den Scheiss auch bei dir drauf hast! Ist ein ziemlich
nervender Virus. Mach genau das, wie es im Text beschrieben ist! Bye

Ich habs dir doch gesagt, irgendwann schaffe ich es deine Passwrter
rauszubekommen!!!

Details entnehmen Sie bitte dem Attachment NShere Informationen befinden
sich im Anhang.

*** Auto Mail Delivery System *** Ihre E-Mail konnte nicht gesendet oder
empfangen werden. Bitte attach: * End Transmission
--- Web: http://www.
--- Mail To: User-Hilfe

Passwort und Benutzername wurde erfolgreich ge Mail- Anhang: Keine verd chtigen Virus- Signaturen gefunden Ihre Benutzernamen und Passwrter befinden sich im Anhang dieser E-Mail ++++ Im www erreichbar unter: http://www. ++++ E-Mail: KundenInfo

Wegen eines Datenbank- Fehlers k Wenn Sie Unregelm
igkeiten festgestellt haben, melden Sie uns bitte umgehend den Datenverlust.
Vielen Dank f +++ Ein Service von

Internet Provider Abuse: Wir haben festgestellt, dass Sie illegale Internet-
Seiten besuchen. Bitte beachten Sie folgende Liste:

At the end of the message there may be one of the following lines:

Mail- Attachment: No suspicious Virus signatures
Mail Scanner: No Virus found
Anti-Virus: No Virus!
Mail- Anhang: Keine verdchtigen Virus- Signaturen gefunden
Mail Scanner: Kein Virus gefunden
Anti- Virus: Es wurde kein Virus erkannt

The mail comes from:
Spoofed email address using addresses it finds in the files or generated with the following keywords:
Webmaster,
Fehler-Info,
Administrator,
RobotMailer,
AutoMailer,
Error-Info.

Subject is one of the following:
Hi, it's me,
Well, surprise?!
Delivery failure,
hello,
Mail server,
Illegal Website,
Mail Error,
Your Document,
Confirmation,
Bad Gateway,
Mail Authentification,
Warning!,
Info,
Database #Error,
SMTP Server,
Hi!,
damn!,
hey you,
Einzelheiten,
Hallo Du!,
Hallo!,
Hey Du,
Hi,
Ich bin's,
Ich bin es .-),
Verdammt,
Na, berrascht ,
Fehlerhafte Mailzustellung,
Mailzustellung fehlgeschlagen,
Fehler,
Illegale Zeichen in Mail-Routing,
Verbindung fehlgeschlagen,
Ungeltige Mail-Satzlänge,
Fehler in E-Mail,
Bestätigung,
Registrierungs-Bestätigung,
Ihr neues Passwort, Ihr Passwort,
Datenbank-Fehler,
Warnung!,

Attachment:
Can be ZIP or EXE or PIF the with the following names:
Dokumente,Dokument, KurzText, Register, Service, Info, Passwort, Kundenservice, Liste,
Schwarze-Liste, Information, text, Textdocument, anitv_text, instructions,
your_article, your_passwords, messagedoc, pass-message, database, help, check_this, Police

Once executed, the worm copies itself to Windows System directory with a name built with a combination of the following words:
sys,host,dir,explorer,win,run,log,32,disc,crypt,data,diag,spool,service,smss32

Opens notepad with some MIME encoded file in it.

For example, if C:WindowsSystem is the Windows System directory, a worm name could be:
C:WindowsSystem
unspooldir.exe

The worm creates the following registry key so as to run each time Window starts:
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun or RunOnce ( in a submey possibly )
with a value built using the same words above, pointing to the worm executable copied in Windows System directory.

For gathering email addresses, it search the system for files with the following extensions:
ctl, dhtm, cgi, pp, ppt, msg, jsp, oft, vbs, uin, ldb, abc, pst, cfg, mdw, mbx, mdx, mda, adp, nab, fdb, vap, dsp, ade, sln, dsw, mde,
frm, bas, adr, cls, ini, ldif, log, mdb, xml, wsh, tbb, abx, abd, adb, pl, rtf, mmf, doc, ods, nch, xls, nsf, txt, wab, eml, hlp, mht,
nfo, php, asp, shtml, dbx.

For sending mail, the worm uses two temporary files, that are the MIME encoding of the worm executable or zip:
%SYSTEM%winsys32xx.zzp (zip)
%SYSTEM%winhex32xx.wrm (exe).

Last update 21 November 2011

 

TOP