El ELISTARA ha aislado un malware que los AV “rusos” y “chinos” aun no detectan :)

Pues un malware que los AV “rusos” y “chinos” no detectan 🙂
Nos ha llegado una muestra de un SMSS.EXE que el ELISTARA ha detectadao sospechosa, y que casi todos los AV detectan menos los “rusos” y los “chinos”:
DrWeb 5.0.0.12182 2009.12.02 –
Jiangmin 13.0.900 2009.12.02 –
Kaspersky 7.0.0.125 2009.12.02 –

si bien lo detectan la mayoría : 27/41 (65.86%)

File SMSS.EXE.Muestra_EliStartPage_v19 received on 2009.12.02 12:58:45 (UTC)
Result: 27/41 (65.86%)
Antivirus Version Last Update Result
a-squared 4.5.0.43 2009.12.02 Virus.Win32.Rootkit!IK <—
AhnLab-V3 5.0.0.2 2009.12.02 Win-Trojan/Xema.variant
AntiVir 7.9.1.92 2009.12.02 TR/Crypt.CFI.Gen
Antiy-AVL 2.0.3.7 2009.12.02 –
Authentium 5.2.0.5 2009.12.02 W32/VB-Wird-based!Maximus
Avast 4.8.1351.0 2009.12.02 Win32:Rootkit-gen   <—
AVG 8.5.0.426 2009.12.02 Generic12.AYNE
BitDefender 7.2 2009.12.02 Gen:Trojan.Heur.bmKfrfb6yddi <·····
CAT-QuickHeal 10.00 2009.12.02 –
ClamAV 0.94.1 2009.12.02 –
Comodo 3103 2009.12.01 UnclassifiedMalware
DrWeb 5.0.0.12182 2009.12.02 –
eSafe 7.0.17.0 2009.12.01 –
eTrust-Vet 35.1.7152 2009.12.02 –
F-Prot 4.5.1.85 2009.12.01 W32/VB-Wird-based!Maximus
F-Secure 9.0.15370.0 2009.11.29 Gen:Trojan.Heur.bmKfrfb6yddi <······
Fortinet 4.0.14.0 2009.12.02 –
GData 19 2009.12.02 Gen:Trojan.Heur.bmKfrfb6yddi  >······
Ikarus T3.1.1.74.0 2009.12.02 Virus.Win32.Rootkit   <—
Jiangmin 13.0.900 2009.12.02 –
K7AntiVirus 7.10.906 2009.11.27 Trojan.Win32.Malware.1
Kaspersky 7.0.0.125 2009.12.02 –
McAfee 5819 2009.12.01 Generic.dx
McAfee+Artemis 5819 2009.12.01 Generic.dx
McAfee-GW-Edition 6.8.5 2009.12.02 Trojan.Crypt.CFI.Gen
Microsoft 1.5302 2009.12.02 Trojan:Win32/Bumat!rts
NOD32 4654 2009.12.02 probably a variant of Win32/Agent
Norman 6.03.02 2009.12.02 W32/Smalltroj.KIYV
nProtect 2009.1.8.0 2009.12.02 –
Panda 10.0.2.2 2009.12.02 Generic Trojan
PCTools 7.0.3.5 2009.12.02 Trojan.Generic
Prevx 3.0 2009.12.02 High Risk Worm
Rising 22.24.02.09 2009.12.02 –
Sophos 4.48.0 2009.12.02 Mal/VB-A
Sunbelt 3.2.1858.2 2009.12.02 Trojan.Win32.Generic!BT
Symantec 1.4.4.12 2009.12.02 Trojan Horse
TheHacker 6.5.0.2.083 2009.12.01 –
TrendMicro 9.100.0.1001 2009.12.02 TROJ_GENERIC.DIT
VBA32 3.12.12.0 2009.12.02 –
ViRobot 2009.12.2.2068 2009.12.02 –
VirusBuster 5.0.21.0 2009.12.01 Trojan.CFI.AKE
Additional information
File size: 19968 bytes
MD5…: 5c2d61116ca1f21c1d6bebce3dff941b
SHA1..: 5374c46dccd967bfee4d03aec82e9966f593da9e

Aparte de con nuestro ELIMD5 ya puede controlarse inmediatamente con cualquiera de los hashes indicados al final del informe, a partir del ELISTARA 19.82 ya lo controlaremos por exploración.
Varios lo detectan como RootKit, y otros como Trojan.Heur.bmKfrfb6yddi, tras monitorizarlo veremos lo que hace y obraremos en consecuencia

saludos

ms, 2-12-2009

Nos ha llegado una muestra de un SMSS.EXE que el ELISTARA ha detectadao sospechosa, y que casi todos los AV detectan menos los “rusos” y los “chinos”:
DrWeb 5.0.0.12182 2009.12.02 –
Jiangmin 13.0.900 2009.12.02 –
Kaspersky 7.0.0.125 2009.12.02 –

si bien lo detectan la mayoría : 27/41 (65.86%)

File SMSS.EXE.Muestra_EliStartPage_v19 received on 2009.12.02 12:58:45 (UTC)
Result: 27/41 (65.86%)
Antivirus Version Last Update Result
a-squared 4.5.0.43 2009.12.02 Virus.Win32.Rootkit!IK <—
AhnLab-V3 5.0.0.2 2009.12.02 Win-Trojan/Xema.variant
AntiVir 7.9.1.92 2009.12.02 TR/Crypt.CFI.Gen
Antiy-AVL 2.0.3.7 2009.12.02 –
Authentium 5.2.0.5 2009.12.02 W32/VB-Wird-based!Maximus
Avast 4.8.1351.0 2009.12.02 Win32:Rootkit-gen   <—
AVG 8.5.0.426 2009.12.02 Generic12.AYNE
BitDefender 7.2 2009.12.02 Gen:Trojan.Heur.bmKfrfb6yddi <·····
CAT-QuickHeal 10.00 2009.12.02 –
ClamAV 0.94.1 2009.12.02 –
Comodo 3103 2009.12.01 UnclassifiedMalware
DrWeb 5.0.0.12182 2009.12.02 –
eSafe 7.0.17.0 2009.12.01 –
eTrust-Vet 35.1.7152 2009.12.02 –
F-Prot 4.5.1.85 2009.12.01 W32/VB-Wird-based!Maximus
F-Secure 9.0.15370.0 2009.11.29 Gen:Trojan.Heur.bmKfrfb6yddi <······
Fortinet 4.0.14.0 2009.12.02 –
GData 19 2009.12.02 Gen:Trojan.Heur.bmKfrfb6yddi  >······
Ikarus T3.1.1.74.0 2009.12.02 Virus.Win32.Rootkit   <—
Jiangmin 13.0.900 2009.12.02 –
K7AntiVirus 7.10.906 2009.11.27 Trojan.Win32.Malware.1
Kaspersky 7.0.0.125 2009.12.02 –
McAfee 5819 2009.12.01 Generic.dx
McAfee+Artemis 5819 2009.12.01 Generic.dx
McAfee-GW-Edition 6.8.5 2009.12.02 Trojan.Crypt.CFI.Gen
Microsoft 1.5302 2009.12.02 Trojan:Win32/Bumat!rts
NOD32 4654 2009.12.02 probably a variant of Win32/Agent
Norman 6.03.02 2009.12.02 W32/Smalltroj.KIYV
nProtect 2009.1.8.0 2009.12.02 –
Panda 10.0.2.2 2009.12.02 Generic Trojan
PCTools 7.0.3.5 2009.12.02 Trojan.Generic
Prevx 3.0 2009.12.02 High Risk Worm
Rising 22.24.02.09 2009.12.02 –
Sophos 4.48.0 2009.12.02 Mal/VB-A
Sunbelt 3.2.1858.2 2009.12.02 Trojan.Win32.Generic!BT
Symantec 1.4.4.12 2009.12.02 Trojan Horse
TheHacker 6.5.0.2.083 2009.12.01 –
TrendMicro 9.100.0.1001 2009.12.02 TROJ_GENERIC.DIT
VBA32 3.12.12.0 2009.12.02 –
ViRobot 2009.12.2.2068 2009.12.02 –
VirusBuster 5.0.21.0 2009.12.01 Trojan.CFI.AKE
Additional information
File size: 19968 bytes
MD5…: 5c2d61116ca1f21c1d6bebce3dff941b
SHA1..: 5374c46dccd967bfee4d03aec82e9966f593da9e

Aparte de con nuestro ELIMD5 ya puede controlarse inmediatamente con cualquiera de los hashes indicados al final del informe, a partir del ELISTARA 19.82 ya lo controlaremos por exploración.
Varios lo detectan como RootKit, y otros como Trojan.Heur.bmKfrfb6yddi, tras monitorizarlo veremos lo que hace y obraremos en consecuencia

saludos

ms, 2-12-2009