Новую модификацию компьютерного вируса Sober — Sober.R зафиксировали в Интернете сотрудники антивирусной лаборатории Panda Software. По их данным, червь проникает в компьютер, используя методы социальной инженерии.

В частности, для распространения он использует два вида писем: первое — сообщение на английском языке с темой «Ваш новый пароль». Письмо замаскировано под уведомление об изменении пароля, содержащее во вложенном файле данные для ознакомления — pword_change.zip. Во втором случае это письмо на немецком, якобы с фотографиями старых школьных друзей в файле KlassenFoto.zip. Оба сжатых файла включают в себя исполняемый файл PW_Klass.Pic.packed-bitmap.exe, который и является копией самого червя.

Если про англоязычный вариант вируса специалисты говорят, что он менее убедительный, так как люди стали в последнее время с подозрением относиться к сообщениям, в которых им предлагается узнать их новый пароль, то немецкий вызывает у программистов определенные опасения. Его автор использует психологическую ловушку, заставляя открывать интересную «картинку». Дело в том, что ничего не подозревающий пользователь получает послание якобы от его бывшего одноклассника, с надписью: «Я приложил к письму нашу старую фотографию класса. Если вы найдете там себя, пожалуйста, ответьте на письмо». После открытия файла вирус попадает в компьютер и выводит ложное сообщение об ошибке CRC. Далее он ищет электронные адреса на зараженном компьютере в файлах с определенными расширениями и, используя собственный SMTP-механизм, рассылает себя по ним. В случае, если адрес оканчивается на .de (Германия), .ch (Швейцария), .at (Австрия) или .li (Лихтенштейн), он отправляет немецкую версию письма.

По словам директора антивирусной лаборатории PandaLabs Луиса Корронса, «черви Sober всегда могли похвастаться своей способностью к распространению, и новая версия не является исключением. Вероятно, тому причиной является то, что она использует методы социальной инженерии, убеждая пользователей запустить зараженные файлы и изменяя язык отправляемого сообщения в зависимости от местоположения получателя».

Перехват червя был осуществлен с помощью превентивной технологии TruPreventTM. И теперь, в связи с резким увеличением числа инцидентов, вызванных новым Sober.R, компания Panda Software предоставляет пользователям бесплатный утилит PQRemove, который обнаруживает и уничтожает вирус с любого зараженного компьютера.

Напомним, что различные версии Sober образуют две трети вредоносных программ, циркулирующих на данный момент в Интернете. Первые версии Sober появились еще в 2003 г., но наибольший урон причиняют именно последние его модификации. Особенную опасность Sober представляет для операционных систем семейства Microsoft Windows.

Алексей КОМНИН

Утренняя газета