De Sober.P worm heeft zich de afgelopen dagen massaal verspreid via het internet. De nieuwe Sober variant is inmiddels met het infecteren van computers gestopt en zoekt op bepaalde locaties naar updates, wat een golf van nieuwe malware kan betekenen. Dat de worm zich kan verspreiden is onder andere te danken aan het feit dat veel bedrijven en thuisgebruikers nog steeds geen anti-virus gebruiken en dat de worm zich zowel in het Engels als in het Duits verspreidt. Vooral in Duitsland hebben de Sober varianten altijd veel succes gehad.

Nu zijn er meer wormen geweest die deze kenmerken hadden. Volgens Roel van Kaspersky Lab ligt het succes van Sober.P dan ook in het gebruikte beschermingsmechanisme. Net als andere Sober varianten maakt Sober.P gebruik van verschillende mechanismes om I/O toegang tot zijn bestanden te voorkomen.

In andere woorden: Programma's hebben geen toegang tot de bestanden van Sober. Zelfs applicaties die onder het SYSTEEM account draaien hebben geen toegang als Sober in het geheugen actief is. Dit mechanisme is door de tijd verbeterd, aangezien eerdere varianten van Sober niet konden voorkomen dat het systeem toegang tot de bestanden kreeg.

Hierdoor kunnen de bestanden tijdens een normale scan niet door een virusscanner gescand worden. Om Sober.P te stoppen moet de scanner de worm in het geheugen kunnen detecteren en dan de processen uitschakelen. Iets waar niet alle virusscanners in slagen.