Обнаружены три модификации вируса Bobax
24 мая 2004 года, 15:22
; текст: Владимир Парамонов
Компания Panda Software обнаружила три модификации вредоносной программы Bobax, о которой впервые стало известно в начале прошлой недели. Червь Bobax распространяется через интернет, используя опасную уязвимость в локальной подсистеме аутентификации пользователей (LSASS). При этом вирус может самостоятельно заражать лишь те компьютеры, на которых установлены операционные системы Windows 2000 или ХР. В принципе, червь способен инфицировать и машины с другими ОС Microsoft, однако в этом случае необходимо, чтобы пользователь запустил вредоносный файл вручную.
Окно, выводимое на дисплей червями семейства Bobax
Как и оригинальная версия программы, черви Bobax.B, Bobax.C и Bobax.D, способны превращать удаленный ПК в прокси-сервер для отправки спама. После проникновения на компьютер вирусы открывают несколько портов с произвольными номерами, через которые авторы могут отдавать управляющие команды. Далее код червя в виде DLL-файла записывается во временный каталог Windows, после чего производится модификация реестра операционной системы. Вирус пытается соединиться с сайтами chilly.no-ip.info, kwill.hopto.org, cheese.dns4biz.org, butter.dns4biz.org и сканирует произвольные IP-адреса в поисках уязвимых машин.
Следует заметить, что использование вредоносной программой дыры в LSASS приводит к возникновению ошибки переполнения буфера и последующей перезагрузке ПК. При этом на дисплей выводится характерное окно с информацией об оставшемся до выключения времени (см. скриншот). Для защиты от червей семейства Bobax необходимо обновить антивирусные базы данных или установить заплатку от Microsoft.
