Anti-Troyano, Anti-Gusano, Anti-Marcador, Anti-Rootkit y Anti-Spyware todo en un programa! a-squared Anti-Malware - Buscador de Malware para remover y eliminar el software malicioso.

a-squared Malware-Info

Name: Worm.Win32.Sober.I

Description:

Síntomas:
Presencia de los archivos winsend32.dal,winroot64.dal,cvqaikxt.apk,sysmms32.lla,dgssxy.yoi,zippedsr.piz,nonzipsr.noz,
winexerun.dal, winmprot.dal,clonzips.ssc,clsobern.isc,sb2run.dii en %SYSDIR%.
Presencia de las claves de registro:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run o RunOnce con un valor creado con las siguientes palabras:
sys,host,dir,expoler,win,run,log,32,disc,crypt,data,diag,spool,service,smss32 apuntando a un archive en el directorio Windows creado con las mismas reglas. Por ejemplo:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\host = c:\winnt\system32\disclogexpoler.exe

Descripción técnica:
El gusano llega por email en idioma Alemán o Inglés. La dirección de correo de quien envía es burlada.

El cuerpo del mensaje es generado desde varias plantillas, usando información acerca del usuario “destino” (como el nombre de dominio). Estas plantillas contienen las siguientes cadenas (aunque el mensaje final puede contener más texto):

I was surprised, too!
Who_could_suspect_something_like_that? shityiiiii
im_shocked
thats_hard
oh_nono
Your password was changed successfully!
Protected message is attached!
This mail was generated automatically.
Diese Information ist geschützt durch ein Passwort!
Diese E-Mail wurde automatisch generiert.
Da Sie uns Ihre Persönlichen Daten zugesandt haben, ist das Passwort Ihr Geburts- Datum.
Viel Vergnügen mit unserem Angebot!
Folgende Fehler wurden aufgezeichnet:
Aus Datenschutzrechtlichen Gründen, darf die vollständige E-Mail incl. Daten nur angehängt werden.
Wir bitten Sie, dieses zu berücksichtigen.
Vielen Dank für Ihr Verständnis.
Ihre geänderten Account Daten, befinden Sie im beigefügten Dokument.
Weitere Informationen befinden sich im Anhang dieser Mail

El asunto puede ser uno de los siguientes:
Info von :
Mailzustellung fehlgeschlagen:
Fehler in E-Mail:
Ihre E-Mail wurde verweigert:
Mailer Error:
Ungültige Zeichen in Ihrer E-Mail:
Mail- Verbindung wurde abgebrochen:
Mailer-Fehler:
Betr.- Ihr Account:
Ihre neuen Account-Daten:
Auftragsbestätigung:
Lieferungs-Bescheid
Details
Oh God it's
Registration confirmation
Confirmation
Your Password
Your mail password
Delivery_failure_notice
Faulty_mail delivery
Mail delivery_failed
Mail Error
illegal signs in your mail
invalid mail
Mail_Delivery_failure
mail delivery system


El mensaje puede contener también cadenas que digan que el mensaje ha sido escaneado y resultó estar libre de pestes:

Attachment: No Virus found
Mail_Scanner: No Virus
Anti_Virus: No Virus was found
Attachment-Scanner: NO VIRUS
Anti_Virus: Es wurde kein Virus gefunden


El adjunto es un archivo ZIP o un archivo SCR, BAT, COM o PIF con el nombre compuesto por uno de los siguientes:  

daten,KDE_Info,system-,data_info etc.,

posiblemente junto a un numero al azar. También, el archivo puede tener una extensión de documento como XML, TXT, EML, seguida de espacios y seguida por la verdadera extensión.
Ejemplos:
message_text.txt.(spaces).pif,
system-cmd.pif,
daten.bat,
data_info8326.pif,
KDE_Info901.bat,
daten.eml.bat.

Una vez ejecutado el gusano se copia a si mismo al directorio System32 de Windows con un nombre formado por una combinación de las siguientes palabras:
sys,host,dir,expoler,win,run,log,32,disc,crypt,data,diag,spool,service,smss32 , como por ejemplo disclogexpoler.exe.

El gusano crea entradas de registro de modo que se ejecute cuando inicia Windows (Ejemplo: Software\Microsoft\Windows\CurrentVersion\RunOnce y Run).

Para recolectar direcciones de email, busca archivos con las siguientes extensiones:
pmr,stm,slk,inbox,imb,csv,bak,imh,xhtml,imm,imh,cms,nws,vcf,ctl,dhtm,
cgi,pp,ppt,msg,jsp,oft,vbs,uin,ldb,abc,pst,cfg,mdw,mbx,mdx,mda,adp,nab,fdb,vap,dsp,ade,sln,
dsw,mde,frm,bas,adr,cls,ini,ldif,log,mdb,xml,wsh,tbb,abx,abd,adb,pl,rtf,mmf,doc,ods,nch,xls,nsf,txt,wab,eml,hlp,mht,nfo,php,asp,shtml,dbx .

Fuente: BitDefender-es Virusinfo

Additional information might be found here:

Search at Google for Worm Sober I
Search at Bing for Worm Sober I
Search at Yahoo for Worm Sober I

Removal instructions for Worm Sober I:

To delete this malware infection, please download and install a-squared Anti-Malware. Run a full scan on all drives and move all detected items to the quarantine.

Best In Test!

More independent reviews of anti-malware software