病毒名稱: Worm.Sober
中文名稱: 清醒
威脅級別: 3C
病毒類型: Worm
受影響系統(tǒng): Win9x/NT/2K/XP
病毒別名:
I-Worm.Sober[AVP]
W32.Sober@mm[Symantec]
該蠕蟲病毒會偽裝成含反病毒軟件的郵件，引誘戶打開其附件。病毒激活后會在宿主機(jī)器上發(fā)送大量帶毒郵件，大量浪費系統(tǒng)資源和網(wǎng)絡(luò)資源。Sober病毒已在歐洲，尤其是英國和德國造成了巨大的影響。
技術(shù)特征：
1、自我復(fù)到系統(tǒng)目錄（%system%)，病毒復(fù)本的文件名為：
similare.exe
systemchk.exe
winrea.exe
2、添加注冊表啟動項，以隨機(jī)啟動
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
3、通過郵件傳播，郵件主題不定，正文為英文和德文文本，附件后綴可能為bat、com、exe、pif、scr。
a、通常郵件主題和內(nèi)容為“該郵件的附件為"Sobig-Worm"(“巨無霸”Worm.Sobig）病毒的清除工具”，以引誘用戶打開其附件；
例如：
Subject: New Sobig-Worm variation (please read)
Body text: New Sobig variation in the net.
You must change any settings before the worm control your computer!
But, read the official statement from Norton Anti Virus!
File attachment: NAV.pif
b、染毒的郵件通常帶有如下簽名：
Automatic Mail notification: Robot-System__#
c、病毒搜索后綴為“htt、rtf、doc、xls、ini、mdb、txt、htm、html、wab、pst、fdb、cfg、ldb、eml、abc、ldif、nab、adp、mdw、mda、mde、ade、sln、dsw、dsp、vap、php、asp、shtml、shtm”文件中的郵件地址，并發(fā)送帶毒文件給他們。
解決方案:
如果您的系統(tǒng)突然速度下降，或是在打開某一程序時，彈出下圖中的對話框，則您的系統(tǒng)有可能中了“清醒”蠕蟲病毒了，請采用以下方法查殺：
1、請升級您的金山毒霸到10月30日的版本，既可完全查殺該病毒；
2、請不要相信以任何名義來發(fā)送反病毒工具的郵件，此次特別是針對“巨無霸”(Worm.Sobig）病毒的工具；
3、手工清除方法：
對于WIN9X用戶可以在純DOS模式下刪除以下病毒文件：
%system%\similare.exe
%system%\systemchk.exe
%system%\winrea.exe
對于Win2000/WinXP用戶，請使用進(jìn)程管理器結(jié)束名為：“similare.exe、systemchk.exe、winrea.exe”的進(jìn)程，然后刪除以下文件：
%system%\similare.exe
%system%\systemchk.exe
%system%\winrea.exe
刪除病毒在注冊表中添加的啟動項目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
專家提醒：
1、請及時升級您的毒霸到最新。因為病毒隨時在產(chǎn)生，金山毒霸的病毒庫也會隨時升級中，請多關(guān)注金山毒霸安全咨詢網(wǎng)（duba.net)上的最新病毒公告，或者訂閱金山毒霸的“病毒短信”，為您提供最新最快的病毒信息和毒霸的升級信息；
2、打開網(wǎng)絡(luò)和病毒防火墻，為您的系統(tǒng)打上微軟的最新補丁。殺病毒不如防病毒，只要防止住病毒進(jìn)入的通道，就可徹底免除病毒帶來的危害；
3、不隨意打開陌生人的郵件。當(dāng)今的病毒不再只是通過計算機(jī)來傳播，病毒制作者會利用人們好奇的心理來騙取自己激活的機(jī)會，如前段時間的“911”蠕蟲病毒，就是利用人們對“911”事件的關(guān)注心態(tài)，來騙取用戶打開郵件，從而使用病毒獲得激活進(jìn)會。大量的木馬和黑客程序都會以這種方式來獲得運行權(quán)；
4、掌握一些相關(guān)的系統(tǒng)操作知識，這樣可以方便、及時的發(fā)現(xiàn)新病毒。
