當該威脅試圖傳播時，支持禁止蠕蟲功能的 Symantec 單機版產品會自動檢測到此威脅。
基本介紹
- 外文名：W32.Sober.F@mm
- 發現：2004 年 4 月 3 日
- 更新：2007 年 2 月 13 日 12:23:15 PM
- 類型：Worm
別名： W32/Sober.f@MM [McAfee], Win32.Sober.F [Computer Associ, W32/Sober-F [Sophos], WORM_SOBER.F [Trend]
感染長度： 42,496 bytes
受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
W32.Sober.F@mm 是 W32.Sober.E@mm 的變種，它通過使用自己的 SMTP 引擎將自身作為電子郵件附屬檔案傳送進行傳播。
電子郵件的 “主題：” 和 “正文：” 各種各樣，以德文和英文編寫。
注意：
* 當該威脅試圖傳播時，支持禁止蠕蟲功能的 Symantec 單機版產品會自動檢測到此威脅。
* 該蠕蟲不具有靜態 MD5 散列值。
* Symantec 安全回響中心開發了一種防毒工具，可用來清除 W32.Sober.F@mm 感染。
防護
* 病毒定義（每周 LiveUpdate™） 2004 年 4 月 4 日
* 病毒定義（智慧型更新程式） 2004 年 4 月 4 日
威脅評估
廣度
* 廣度級別： Medium
* 感染數量： 50 - 999
* 站點數量： More than 10
* 地理位置分布： Low
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Medium
* 大規模傳送電子郵件： Sends mail to addresses collected from the local machine
* 修改檔案： Modifies the system registry.
* 危及安全設定： n/a.
分發
* 分發級別： High
* 電子郵件的主題： Varies
* 附屬檔案名稱： Varies with the .exe or .zip file extension.
* 附屬檔案大小： 42,496 bytes
W32.Sober.F@mm 運行時會執行下列操作：
1. 將自身複製為 %System%\<隨機檔案名稱>.exe。
其中，<隨機名稱> 變數是隨機從以下列表選擇的：
* sys
* host
* dir
* explorer
* win
* run
* log
* 32
* disc
* crypt
* data
* diag
* spool
* service
* smss32
注意：%System% 是一個變數。蠕蟲會找到 System 資料夾，並將自身複製到其中。默認情況下，此資料夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。
2. 創建以下註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run\<隨機名稱>
並添加下列值：
"<隨機值>" = "%System%\<隨機檔案名稱>.exe
使該蠕蟲在啟動 Windows 時啟動。
3. 將值：
"<隨機值>" = "%System%\<隨機檔案名稱>.exe %1"
添加到註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\RunOnce
使該蠕蟲在啟動 Windows 時啟動。
注意：<隨機值> 變數使用以上述方法使用 <隨機檔案名稱> 列表創建。
4. 在 Windows XP 上，將隨機值添加到以下鍵以使該蠕蟲在啟動 Windows 時啟動：
HKEY_USERS\S-1-5-21-??????????-??????????-?????????-???\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run
5. 刪除下列檔案：
* %System%\zmndpgwf.kxx
* %System%\zhcarxxi.vvx
* %System%\bcegfds.lll
* %System%\syst32win.dll （包含在受感染計算機上收集到的電子郵件地址列表的日誌檔案。）
* %System%\winsys32xx.zzp
* %System%\winhex32xx.wrm
* %System%\spoofed_recips.ocx
6. 如果系統未連線 Internet，則該威脅將嘗試使用任何可用的撥號連線進行連線，並且會顯示以下對話框：
Microsoft Windows
STOP: 0x80070725
System File [filename].exe
Connection lost or blocked by Firewall
7. 列舉計算機上所有固定驅動器，並掃描具有以下擴展名的檔案以查找電子郵件地址：
* .abc
* .abd
* .abx
* .adb
* .ade
* .adp
* .adr
* .asp
* .bas
* .cfg
* .cgi
* .cls
* .ctl
* .dbx
* .dhtm
* .doc
* .dsp
* .dsw
* .eml
* .fdb
* .frm
* .hlp
* .ini
* .jsp
* .ldb
* .ldif
* .log
* .mbx
* .mda
* .mdb
* .mde
* .mdw
* .mdx
* .mht
* .mmf
* .msg
* .nab
* .nch
* .nfo
* .nsf
* .ods
* .oft
* .php
* .pl
* .pp
* .ppt
* .pst
* .rtf
* .shtml
* .sln
* .tbb
* .txt
* .uin
* .vap
* .vbs
* .wab
* .wsh
* .xls
* .xml
8. 將收集到的電子郵件地址存儲在檔案 %System%\syst32win.dll 中。
9. 通過使用自己的 SMTP 引擎將自身作為電子郵件傳送到在上述步驟收集的電子郵件地址。
電子郵件將具有以下特徵：
發件人：（以下所列德語或英語字元串之一）
* 德語： Webmaster
* Fehler-Info
* Administrator
* RobotMailer
* AutoMailer
* Register
* Service
* Info
* Passwort
* Kundenservice
* Liste
* Schwarze-Liste
* Information
英語：
* Administrator
* Webmaster
* Home
* Register
* Service
* Info
* admin
* Error_Info
* RobotMailer
* AutoMailer
* User-info
* account
* webmaster
或使用收集到的電子郵件地址用戶名和以下字串創建：
* @abuse.de
* @yahoo.com
* @yahoo.de
* @gmx.de
* @gmx.net
* @web.de
* @freenet.de
* @lycos.de
主題：（以下所列德語或英語字元串之一）
o 德語： Einzelheiten
o Hallo Du!
o Hallo!
o Hey Du
o Hi, Ich bin's
o Ich bin es .-)
o Verdammt
o Na, berrascht?!
o Info
o Information
o Fehlerhafte Mailzustellung
o Mailzustellung fehlgeschlagen
o Fehler
o Illegale Zeichen in Mail-Routing
o Verbindung fehlgeschlagen
o Ung
o Fehler in E-Mail
o Besttigung
o Registrierungs-Besttigung
o Ihr neues Passwort
o Ihr Passwort
o Datenbank-Fehler
o Warnung!
英語：
o Oh my God
o Hey
o Hi!
o Hi, it's me
o hey you
o damn!
o Well, surprised?
o Info
o Information
o Faulty mail delivery
o Mail delivery failed
o Mail Error
o Illegal signs in Mail-Routing
o Connection failed
o Invalid mail sentence length
o Mail Delivery failure
o Message Error
o mail delivery status
o Confirmation Required
o Bad Gateway
o Warning!
o Your document
後跟：
o Message-ID: <%Random_String%.qmail>
正文：（以下所列德語或英語字元串之一）
o 德語： Ich war auch ein wenig
berrascht!
Wer konnte so etwas ahnen!? Lese selbst
Oh-Mann
o Alles klaro bei dir?
Schau mal was Ich gefunden habe!
o Sieh mal nach ob du den Scheiss auch bei dir drauf hast!
Ist ein ziemlich nervender Virus. Mach genau das, wie es im Text beschrieben ist!
Bye
o Ich habs dir doch gesagt, irgendwann schaffe ich es deine Passwrter rauszubekommen!!!
Passwoerter.txt
o Details entnehmen Sie bitte dem Attachment
Nhere Informationen befinden sich im Anhang.
o *** Auto Mail Delivery System ***
Ihre E-Mail konnte nicht gesendet oder empfangen werden.
Bitte berpr fen Sie nochmals diese E-Mail auf mgliche Fehlerquellen.
attach: AMD-System.txt
* End Transmission
Virenschutz
--- Web: http://www.<randomly choosen domain>
--- Mail To: User-Hilfe
o Passwort und Benutzername wurde erfolgreich gendert
Ihre Benutzernamen und Passwrter befinden sich im Anhang dieser E-Mail
++++ Im www erreichbar unter: http://www.<randomly choosen domain>
++++ E-Mail: KundenInfo
o Wegen eines Datenbank- Fehlers knnte es mglicherweise zu einem Verlust Ihrer persnlichen Daten wie Kennwrter gekommen sein.
Wenn Sie Unregelmigkeiten festgestellt haben, melden Sie uns bitte umgehend den Datenverlust.
Vielen Dank fr Ihr Verstndnis
+++ Ein Service von
+++ http://www.<randomly choosen domain>
+++ E-Mail: Kundenservice
o Internet Provider Abuse:
Wir haben festgestellt, dass Sie illegale Internet- Seiten besuchen.
Bitte beachten Sie folgende Liste:
英語：
o I was surprised, too! :-(
Who could suspect something like that?
o All OK :)
see, what i've found!
o hi its me
i've found a shity virus on my pc. check your pc, too!
follow the steps in this article.
bye
o I 've told you!:-) sometime I grab your passwords!
o I hope you accept the result!
Follow the instructions to read the message.
Please read the document
o Registration confirmation
Your Password
Your mail account
Your password was changed successfully.
Protected message is attached.
++++ Service: http://www.<randomly choosen domain>
++++ Mail To: User-info
o *** Auto Mail Delivery System ***
67.28.114.32_failed_after_I_sent_the_message./Remote_host_said:_554_delivery_error:
_dd_Sorry_your_message_cannot_be_delivered._This_account_has_been_disabled_
or_discontinued_[#102]._-_mta134.mail.dcn.com *** this line has been modified by Symantec for the purpose of formatting ***
** End of Transmission
The original message is a separate attachment.
--- Web: http://www.<randomly choosen domain>
--- Mail To: User-Hilfe
o Read the attachment for details.
Bad Gateway: The message has been attached.
+++ A service of <randomy choosen domain>
+++ http://www.<randomly choosen domain>
+++ Mail: home
o The message has been attached.
o Database #Error
-- Partial message is available!
-- Error: llegal signs in Mail-Routing
-- Mail Server: ESMTP VX32.9 Version Betha Alpha
o Anybody use your accounts!
For further details see the attachment.
o I have received your document. The corrected document is attached.
greets
附屬檔案：（以下所列德語或英語字元串之一，使用 pif 或 zip 擴展名）
o 德語： Oh-Mann
o Dokument
o KurzText
o AntiVirus-Text
o Anleitung
o Passwoerter.txt
o Text-Inhalt
o AMD-System.txt
o Benutzer-Daten
o Datenbank-Fehler
o abuse-liste
o schwarze-listen
o Block-Lists
英語：
o anitv_text
o instructions
o your_article
o your_passwords
o messagedoc
o corrected_text-file
o attach-message
o <random>-attachment
o <random>_attach
o pass-message
o text
o Textdocument
該蠕蟲會跳過包含以下字元串的電子郵件地址：
o mailer-daemon
o office
o redaktion
o support
o variabel
o password
o time
o postmas
o service
o freeav
o @ca.
o abuse
o winrar
o domain.
o host.
o viren
o ewido.
o emsisoft
o linux
o google
o @foo.
o winzip
o @arin
o mozilla
o @iana
o @avp
o @msn
o microsoft.
o @sophos
o @panda
o symant
o ntp-
o ntp@
o @ntp.
o @kaspers
o free-av
o antivir
o virus
o verizon.
o @ikarus.
o @nai.
o @messagelab
o clock
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
使用 W32.Sober 防毒工具防毒
賽門鐵克安全回響中心開發了一種防毒工具，可用來清除 W32.Sober.F@mm 感染。這是消除此威脅的最簡便方法，您可先運行防毒工具防毒。
手動防毒
1. 禁用系統還原 (Windows Me/XP)。
2. 更新病毒定義。
3. 將計算機重啟到安全模式或者 VGA 模式。
4. 運行完整的系統掃描，並刪除所有檢測為 W32.Sober.F@mm 的檔案。
5. 恢復添加到註冊表的值。
有關每個步驟的詳細信息，請閱讀以下指導。
1. 禁用系統還原（Windows Me/XP）
如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows XP 系統還原
* 如何禁用或啟用 Windows Me 系統還原
注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。
有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。
2. 更新病毒定義
賽門鐵克安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從賽門鐵克安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
3. 將計算機重啟到安全模式或者 VGA 模式
請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機 。
* Windows NT 4 用戶：將計算機重啟到 VGA 模式。
4. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果檢測到任何檔案被 W32.Sober.F@mm 感染，請單擊“刪除”。
5. 恢復添加到註冊表的值
注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。
1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
2. 鍵入 regedit
然後單擊“確定”。（將打開註冊表編輯器。）
3. 定位到下列鍵然後將其刪除：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
<隨機檔案名稱>
4. 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
RunOnce
5. 在右窗格中，刪除值：
"<隨機值>" = "%System%\<隨機檔案名稱>.exe %1"
6. 退出註冊表編輯器。
7. 以標準模式重新啟動計算機。有關指導，請參閱文檔：如何以安全模式啟動計算機中有關返回標準模式的部分。
