Nueva variante apenas controlada por los antivirus, que llega en un fichero Foto01XIK-DDKLSE.jpg.exe

Un nuevo fichero anexado a un mail, y que llega como una FOTO en jpg, pero que realmente es un EXE, está empezando a propagarse:

File Foto01XIK-DDKLSE.jpg.exe received on 2010.07.01 06:46:14 (UTC)
Current status: finished

Result: 5/41 (12.20%)
 Compact Print results  Antivirus Version Last Update Result
a-squared 5.0.0.31 2010.07.01 –
AhnLab-V3 2010.07.01.00 2010.07.01 –
AntiVir 8.2.4.2 2010.06.30 BDS/IRCBot.69632.A
Antiy-AVL 2.0.3.7 2010.06.30 –
Authentium 5.2.0.5 2010.07.01 –
Avast 4.8.1351.0 2010.06.30 –
Avast5 5.0.332.0 2010.06.30 –
AVG 9.0.0.836 2010.07.01 –
BitDefender 7.2 2010.07.01 –
CAT-QuickHeal 11.00 2010.06.30 –
ClamAV 0.96.0.3-git 2010.07.01 –
Comodo 5272 2010.07.01 –
DrWeb 5.0.2.03300 2010.07.01 –
eSafe 7.0.17.0 2010.06.30 –
eTrust-Vet 36.1.7677 2010.06.30 –
F-Prot 4.6.1.107 2010.06.30 –
F-Secure 9.0.15370.0 2010.07.01 –
Fortinet 4.1.133.0 2010.06.30 –
GData 21 2010.07.01 –
Ikarus T3.1.1.84.0 2010.07.01 –
Jiangmin 13.0.900 2010.07.01 –
Kaspersky 7.0.0.125 2010.07.01 Trojan.Win32.Jorik.SdBot.j
McAfee 5.400.0.1158 2010.07.01 –
McAfee-GW-Edition 2010.1 2010.06.30 –
Microsoft 1.5902 2010.07.01 Trojan:Win32/Ircbrute
NOD32 5241 2010.06.30 –
Norman 6.05.10 2010.06.30 –
nProtect 2010-06-30.01 2010.06.30 –
Panda 10.0.2.7 2010.06.30 Suspicious file
PCTools 7.0.3.5 2010.07.01 –
Prevx 3.0 2010.07.01 High Risk Cloaked Malware
Rising 22.54.03.01 2010.07.01 –
Sophos 4.54.0 2010.07.01 –
Sunbelt 6529 2010.07.01 –
Symantec 20101.1.0.89 2010.07.01 –
TheHacker 6.5.2.0.305 2010.06.30 –
TrendMicro 9.120.0.1004 2010.07.01 –
TrendMicro-HouseCall 9.120.0.1004 2010.07.01 –
VBA32 3.12.12.5 2010.06.30 –
ViRobot 2010.6.29.3912 2010.07.01 –
VirusBuster 5.0.27.0 2010.06.30 –
Additional information
File size: 69632 bytes
MD5   : adeb3d3a3db406af8c90d297e16ac12d
SHA1  : 60ad2ff45fe9f2d71b9013eee0d633ec4992c6ed
Como se ve solo lo detectan 5 antivirus, y alguno como Panda solo como sospechoso, por lo que el riesgo de no ser detectado por el antivirus residente es muy grande, además de usar la picaresca de la doble extensión, o sea, aparentar ser una imagen JPG cuando en realidad es un EXE, Foto01XIK-DDKLSE.jpg.exe, y si no se tiene configurado windows para que muestre las extensiones, solo se ve la primera parte, o sea Foto01XIK-DDKLSE.jpg  , por lo que es muy fácil “picar”

Con el ELIMD5 ya se puede detectar y eliminar entrando cualquiera de los dos hashes indicados al final del informe, por ejemplo adeb3d3a3db406af8c90d297e16ac12d , y en las proximas utilidades de SATINFO ya se controlará, de lo cual informaremos.

De momento se avisa para que no se caiga en la trampa y no se ejecute dicho fichero, si se ve venir…

saludos

ms, 8-7-2010