Selon la société de sécurité iDefense, une variante de Sober devait avoir pour objectif de déclencher un envoi massif de courriers électroniques à la date du 5 janvier 2006. Ce jour, anniversaire de la création du parti nazi, devait donner au malware l’occasion d’émettre des messages de propagande raciste et de relancer une vague d'attaques. Qu’en a-t-il été finalement ?

Selon l’éditeur F-secure, à la date indiquée, la variante en question a bel et bien tenté de télécharger un fichier, en fait une nouvelle version, depuis l’un des cinq domaines identifiés. Dans le même temps, le virus stoppait sa propre propagation. De fait, l’activité du malware s’est amenuisée par la force des choses, les sites visés n’ayant pas été activés. La société avait invité également les providers à surveiller d’un œil les activités des abonnés et spécialement les requêtes multiples vers l’un des domaines people.freenet.de, scifi.pages.at, home.pages.at, free.pages.at et home.arcor.de.


Début décembre, Fsecure affirmait être parvenue à casser le code de Sober : « Ce malware utilise un algorithme pour créer des adresses pseudo aléatoires qui changeront en fonction de la date en cours. » Les URL pointent vers des sites d’hébergement gratuits basés en Allemagne ou Autriche et dont la majorité n’existe pas encore. L’auteur peut ainsi précalculer cette adresse et enregistrer la bonne URL pour y déposer le programme à télécharger par Sober. Les adresses étant depuis connues par tous, il était du coup facile d’éviter le pire pour ce début janvier.

Selon Iron Port, un cabinet d’étude sur la sécurité des mails, les attaques menées par la variante Sober-Z auront été les plus répandues en 2005. On rappellera qu’elles reposent sur des adresses e-mail usurpées, appartenant prétendument à des organismes officiels tels que le FBI ou la CIA. « Des messages informaient les destinataires que leur usage d’Internet avait été surveillé et les invitaient à ouvrir une pièce jointe afin de répondre à un questionnaire. Une fois le fichier ouvert, le virus est capable de désactiver les pare-feux et antivirus personnels, de collecter des adresses e-mail, d’envoyer des messages infectés et de prendre le contrôle de machines pour constituer des réseaux de « zombies ». C’est un tel mail qui avait justement persuadé un pédophile présumé de se livrer à la police, pensant que ses sombres agissements avaient été découverts par les autorités.