title: Sober (virus)
text: # Sober (virus)
  
  Sober è una famiglia di worm scoperta il 24 ottobre 2003.
  
  Sober invia sé stesso come allegato ad una e-mail (usando il proprio motore SMTP); una volta eseguito, si copia in varie cartelle, creando anche delle chiavi nel registro di sistema in modo da avviarsi all'avvio del sistema.
  
  Sober è scritto in Visual Basic e colpisce solo i sistemi Windows.
  
  Il virus ha avuto un'ampia diffusione nel novembre 2005, quando ha infettato oltre tre milioni di computer spacciandosi come un'e-mail dell'FBI o della CIA; nei computer colpiti, il worm disattivava tutti gli antivirus presenti e recuperava informazioni personali.
  
  ## Varianti conosciute
  
  * Sober.L
  * Sober.T
  * Sober.X
  
  ### Alias
  
  * CME-681
  * WORM_SOBER.AG
  * W32/Sober-{X-Z}
  * Win32.Sober.W
  * Win32.Sober.O
  * Sober.Y (pseudonimo di Sober.X, spesso usato da F-Secure)
  * S32/Sober@MMIM681
  * W32/Sober.AA@mm
  
  ## Piattaforme colpite
  
  * Famiglia Microsoft Windows
     * Windows 95
     * Windows 98
     * Windows NT
     * Windows Me
     * Windows 2000
     * Windows XP
     * Windows Server 2003
  
  ## Azioni
  
  ### Infezione
  
  I worm della famiglia Sober devono essere eseguiti manualmente dall'utente per infettare un sistema. Dopo l'esecuzione, il worm può copiarsi in un dei seguenti file della cartella WINDOWS:
  
  * antiv.exe
  * csrss.exe
  * driver.exe
  * driverini.exe
  * drv.exe
  * explorer.exe
  * filexe.exe
  * hlp16.exe
  * lssas.exe
  * qname.exe
  * services.exe
  * smss.exe
  * spoole.exe
  * swchost.exe
  * syshost.exe
  * systemchk.exe
  * systemini.exe
  * winchk.exe
  * winlog32.exe
  * winreg.exe
  
  Successivamente, il worm aggiunge delle chiavi al registro di sistema che gli consentono di eseguirsi automaticamente all'avvio.
  
  ### Diffusione
  
  Sober si può auto-inviare via e-mail tramite il suo motore SMTP a tutti i contatti della rubrica Outlook dell'utente.
  
  ### Disattivazione dei software antivirus
  
  Sober può disattivare molti antivirus, tra i quali Microsoft AntiSpyware e HijackThis.
  
  ## Rinvenimenti
  
  * 24 Ottobre, 2003 – Prima apparizione del virus
  * 3 Marzo, 2005– Variante L
  * 14 Novembre, 2005 – Variante T
  * 15 Novembre, 2005 – Variante X
  
  ## Motivazioni politiche
  
  Nel maggio del 2005, apparve la variante Q del worm sober, l'unica che sembrava avere motivazioni politiche.
  
  A differenza delle altre varianti, quest'ultima reindirizza l'utente ad una pagina delle elezioni politiche tedesche esente dalla presenza di malware, con lo scopo di promuovere il Partito Nazionalista Tedesco.
  
  Ci furono inoltre ulteriori modifiche del virus sempre al fine di pubblicizzare campagne politiche, sempre originate dalla Germania.
  
  