Flere antivirusselskaper advarer nå mot en ny variant av Sober-ormen, som lurer brukerne til å laste ned et tilbud om gratis billetter til FIFA World Cup 2006. Ormen kalles enten Sober.N, Sober.O, Sober.P, Sober.S eller Sober.V av de forskjellige antivirusselskapene.
Ifølge Trend Micro gir e-postmeldingen mottakerne beskjed om at de har vunnet to gratis billetter til FIFA World Cup 2006 som arrangeres i Tyskland. Billettere til dette arrangementet er veldig ettertraktet, og mange fotballtilhengere kan ifølge Trend Micro bli lurt til å laste ned viruset.
E-posten - som har dukket opp i både engelsk og tysk språkdrakt, avhengig av mottakerlandet - fremstår som om den kommer fra Federal Internationale de Football Association (FIFA), og noen av versjonene inkluderer endog både navn og kontaktinformasjon til FIFA.
Ifølge Comendo skal tittelen på e-posten være én av de følgende:
Re: Your Password
Re: Registration Confirmation
Re: Your email was blocked
Re: mailing error
FwD: Ihr Passwort
FwD: Ihre E-Mail wurde verweigert
FwD: Ich bin's, was zum lachen ;)
FwD: Glueckwunsch: Ihr WM Ticket
FwD: WM Ticket Verlosung
FwD: WM-Ticket-Auslosung
Den skal ha et vedlegg som ha ett av de følgende navnene:
LOL.zip
autoemail-text.zip
_PassWort-Info.zip
Fifa_Info-Text.zip
okTicket-info.zip
our_secret.zip
mail_info.zip
error-mail_info.zip
account_info.zip
account_info-text.zip
Ormen har sin egen SMTP-motor for utsendelse av e-post. Adressene leter den etter i en lang rekke av forskjellige filtyper på brukerens maskin.
Det er ikke kjent om den gjør annen skade. Ifølge Comendo var det blitt registrert mer enn 265.000 forekomster av ormen de ti første timene etter at den ble oppdaget i går. Dette regnes som kraftig spredning. Ormen spres primært i USA og tysktalende land, men er også registrert i Norge.
Sober-ormen er skrevet i Microsoft Visual Basic, og er pakket med UPX.
Mer informasjon om ormen finnes blant annet her.
