[新聞]Sober威脅攀升成今年最大規模e-mail攻擊

[逍遙樓主]

Sober蠕蟲威脅不斷攀升，根據F-Secure的資料，在上周二（11/22）爆發大規模攻擊行動後，更成為今年度最大規模的電子郵件惡意程式攻擊。

即使周三攻擊行動已經趨緩，不過，資訊安全公司F-Secure網路安全研究長（chief research officer）Mikko Hypponen表示，Sober蠕蟲變種Sober.x（也有資訊安全公司命名為Sober.y及Sober.z）在上周二爆發的攻擊行動是今年度最大規模的電子郵件惡意程式攻擊。

在上周二，光是網路服務業者（ISP）所攔截夾帶Sober病毒的電子郵件就多達數百萬封。電子郵件安全防護公司MX Logic所提供的更詳細數字則顯示，上周二平均每八封郵件就有一封含有Sober蠕蟲；MX Logic威脅中心在當天攔截了超過一百萬封夾帶Sober蠕蟲的電子郵件。

跟其他Sober蠕蟲一樣，Sober.x利用本身具備的SMTP（Simple Mail Transfer Protocol；簡易郵件傳送協定）引擎，將複製的蠕蟲透過電子郵件大量傳送；由於SMPT採用25連接埠，因此不少專家建議ISP業者直接關閉25連接埠以避免像Sober這樣的惡意郵件藉由該連接埠大量散布。

Mikko Hypponen指出駭客散布Sober.x的動機不明，但很顯然地駭客不是為了錢。

不過有其他分析師認為，駭客攻佔這些電腦可以讓其他駭客或散布垃圾郵件的垃圾蟲（Spammer）使用。

Symantec安全應變中心資深總監Alfred Huger表示，駭客不把這些受感染的電腦變成他們的殭屍電腦網絡成員，那才會讓人感到意外。

位於英國的資訊安全公司Sophos已將Sober這個最新變種列為「最高」（highest-possible）威脅等級，而其他資訊安全公司如Symantec與McAfee則仍然其列為「中度」（medium）威脅。

第一隻Sober蠕蟲在2003年10月被發現，它既有的特徵包括發送大量電子郵件、使用英／德語言、採用吸引人開啟的郵件主旨及附加檔案、附加檔案為ZIP檔等，自2003年迄今總計有25隻變種出現。

而為了防堵Sober的擴散，資訊安全專家除了建議個人用戶要迅速更新病毒碼及ISP業者封鎖25連接埠之外，也建議企業可以過濾所有夾帶附件為ZIP檔的電子郵件，但說明該方法也可能過濾掉其他正常的郵件。

[逍遙樓主]

Sober蠕蟲變種不斷推陳出新，最近多家資訊安全公司皆對一隻名為「Sober.x」的Sober變種蠕蟲提出安全警告，因為該隻蠕蟲以FBI及CIA為郵件主旨，誘使使用者開啟郵件附加檔案，散布快速。

資訊安全業者Symantec已將該隻蠕蟲列為第三危險等級（Level 3），Symantec總計有五個病毒威脅等級。

Sober.x蠕蟲是夾在一封以FBI或CIA為主旨的郵件進行散布，內容指稱：使用者的IP位址與30幾個非法網站有關，已被FBI或CIA鎖定，並要求使用者打開附加檔案，以回答該組織所提出的一連串問題，甚至在回覆的郵件帳號也偽稱是「admin@fbi.gov」或「mail@cia.gov」。

與過去Sober蠕蟲郵件一樣，這些郵件都是由英文或德文寫成。

電子郵件安全解決方案供應商MessageLabs表示，在周一（11/21）晚間七點左右，他們攔截了超過270萬封含有Sober.x蠕蟲的電子郵件，這是最近這幾個月以來該蠕蟲的主要攻擊行動。

而Symantec則表示已有上千起遭受Sober.x蠕蟲感染的案例，其中有1600起發生在企業用戶，300起為消費者。

Symantec指出，Sober.x蠕蟲的散布能力比過去其他Sober版本的蠕蟲都要迅速，因為它的散布媒介包括受駭客控制的殭屍電腦以及不計其數的被感染的電腦。

而被牽連的FBI也不尋常地在周二（11/22）發表聲明，指稱這些郵件是偽造的，並不是由FBI所寄送。

德國巴伐利亞警方在11月中旬警告可能會有大規模的Sober蠕蟲攻擊行動，資訊安全業者猜測這是德國當局追查駭客行為所發現的資訊，Sober的開發者被懷疑藏匿在德國，不過迄今尚未有人因撰寫Sober蠕蟲而被起訴。

Sober.x蠕蟲被Sophos及F-Secure命名為Sober.z。