趨勢科技 10 月 6 日中度風險警報
新變種 WORM_SOBER.AC 正在全球擴散（美國、德國、日本為重災區）。偽裝為「密碼已成功變更」通知郵件，誘騙用戶打開附件 pword_change.zip。
郵件特徵識別
- 主題/正文：英文/德文
Your password was successfully changed! Please see the attached file for detailed information.
- 附件：
pword_change.zip（壓縮包內含病毒執行文件）。
- 運行後行為：
— 生成多個群發郵件功能文件，佔滿帶寬；
— 彈出偽錯誤提示框掩飾；
— 在 %Windows%\ConnectionStatus\SERVICES.EXE 生成副本（偽裝系統文件）；
— 終止原進程，將控制權移交副本（進程替換持久化）。
時間線關聯：節假日攻擊模式
- 五一黃金週：偽裝國際足聯贈送世界杯門票；
- 十一長假：偽裝密碼變更通知；
- **利用節假日用戶鬆懈、IT 值班薄弱、郵件流量大掩護惡意郵件**的規律顯著。
緊急應對指南
- 不打開任何未預期的「密碼變更/帳單/快遞/獎品」郵件附件，直接刪除；
- 企業郵件網關：
— 封鎖 .zip/.rar/.exe/.scr/.pif/.com/.bat/.cmd/.vbs/.js/.jar 等高危附件（或強制沙箱檢測）；
— 部署發件人信譽 (SPF/DKIM/DMARC) 檢查，拒絕偽造郵件；
— 關鍵詞過濾：「password changed」「invoice」「tracking」「winner」等。
- 終端：更新殺毒病毒庫（趨勢科技 879 版本），全盤掃描；
- 網絡：監控異常 SMTP 流量（25/587/465 端口突增）、內網掃描風暴（135/139/445 端口）；
- 應用：及時修補 Office/IE/系統漏洞，禁用宏自動運行。
技術指標 (IOC)
- 文件：
%Windows%\ConnectionStatus\SERVICES.EXE（非常駐路徑）
- 註冊表：啟動項指向上述文件
- 網絡：大量出站 SMTP 連接、內網 SMB 掃描
- 進程：
SERVICES.EXE 無簽名、路徑異常、父進程非 services.exe