Het vorige week aangekondigde en gepatchte beveiligingslek in Windows 2000, XP en Server 2003 wordt actief door spammers misbruikt, zo waarschuwen verschillende instanties. Inmiddels zijn er tenminste twee bots in omloop waardoor een aanvaller toegang tot een kwetsbaar Windows 2000 Server systeem krijgt. De gevonden exploits werken niet op Windows XP met Service Pack 2 en Server 2003.

Volgens de LURHQ Threat Intelligence Group gaat het om een variant van de Mocbot. Deze bot verscheen voor het eerst eind 2005 en maakte misbruik van het MS05-039 PNP beveiligingslek. Doordat het een onbetekende IRC bot is heeft de malware nooit veel aandacht van anti-virusaanbieders gekregen.

Dit is mogelijk de reden dat Mocbot nog steeds dezelfde IRC server hostnamen gebruikt als negen maanden geleden. Het enige verschil lijkt dan ook de gebruikte exploit. Deze Mocbot versie kopieert zichzelf naar de systeem directory als het bestand wgareg.exe, en start een NT service om zich tijdens het opstarten als de "Windows Genuine Advantage Registration Service" te laden. Vooralsnog zouden veel virusscanners de malware niet herkennen. (ISC)