Nueva variante de BREDOLAB.V, con diferencias totales respecto las anteriores conocidos (y borra fichero de sistema)

 
Nueva variante de Bredolab que se diferencia sensiblemente de las variantes ya conocidas, especialmente porque crea en la carpeta wbem que cuelga de la de sistema, un fichero malware con el nombre de GRPCONV.EXE y borra el del mismo nombre del sistema operativo que normalmente está en la carpeta de sistema.

Como sea que la carpeta c:\windows\system32\wbem\ tambien está en path, la ejecución del fichero GRPCONV.EXE malware será realizada por el propio sistema operativo, pensando que ejecuta dicho fichero de sistema, con lo cual en cada reinicio el virus entrará en memoria.

Una vez se detecte y elimine dicho malware, quedará el ordenador falto del fichero de sistema borrado por el virus, el C:\windows\system32\GRPCONV.EXE , por lo que conviene copiar en dicha carpeta el de otro ordenador con igual sistema operativo, lo cual es indicado por el ELISTARA cuando detecta y elimina dicho fichero, asi como en el informe resultante c:\infosat.txt, indicando “Este malware puede haber elkiminado el fichero GRPCONV.EXE de la carpeta de sistema, en tal caso debe reponerse”

Pero si es un antivirus u otra utilidad la que elimina dicho fichero…  si no avisa al respecto, conviene saber que si es detectado por alguno con estos nombres, puede faltar dicho fichero:

Kaspersky 7.0.0.125 2010.03.02 Trojan.Win32.Inject.accz
McAfee 5907         2010.03.01 Spy-Agent.bw
Microsoft 1.5502    2010.03.02 TrojanDownloader:Win32/Bredolab.V
DrWeb 5.0.1.12222   2010.03.02 Trojan.Botnetlog.9
Avast 4.8.1351.0    2010.03.02 Win32:Zbot-LSB
NOD32 4908          2010.03.02 Win32/TrojanDownloader.Bredolab.AA
Panda 10.0.2.2      2010.03.01 Trj/Downloader.VZN

El fichero en cuestión indica ser, segun Microsoft, un “Conversor de Grupos para el Administrador de programas de Windows”, por lo que puede adolecer de anomalias si no se repone el borrado por dicho Bredolab.V

A partir del ELISTARA 21.07 de hoy, se detecta y elimina dicha nueva variante.
saludos

ms, 2-6-2010