Компания Panda Software обнаружила три модификации вредоносной программы Bobax, о которой впервые стало известно в начале прошлой недели. Червь Bobax распространяется через Интернет, используя опасную уязвимость в локальной подсистеме аутентификации пользователей (LSASS). При этом вирус может самостоятельно заражать лишь те компьютеры, на которых установлены операционные системы Windows 2000 или ХР. В принципе, червь способен инфицировать и машины с другими ОС Microsoft, однако в этом случае необходимо, чтобы пользователь запустил вредоносный файл вручную.

Как и оригинальная версия программы, черви Bobax.B, Bobax.C и Bobax.D, способны превращать удаленный ПК в прокси-сервер для отправки спама. После проникновения на компьютер вирусы открывают несколько портов с произвольными номерами, через которые авторы могут отдавать управляющие команды. Далее код червя в виде DLL-файла записывается во временный каталог Windows, после чего производится модификация реестра операционной системы. Вирус пытается соединиться с сайтами www.chilly.no-ip.info, www.kwill.hopto.org, www.cheese.dns4biz.org, www.butter.dns4biz.org и сканирует произвольные IP-адреса в поисках уязвимых машин.

Следует заметить, что использование вредоносной программой дыры в LSASS приводит к возникновению ошибки переполнения буфера и последующей перезагрузке ПК. При этом на дисплей выводится характерное окно с информацией об оставшемся до выключения времени. Для защиты от червей семейства Bobax необходимо обновить антивирусные базы данных или установить заплатку от Microsoft.