Nueva variante del downloader Bredolab que descarga Rootkits ZBOT, aun poco detectada por los antivirus (54,8%)

Gracias a la detección heurística del ELISTARA de un fichero sospechoso, hemos podido analizar nueva variante que pasamos a controlar a partir del ELISTARA 21.46 de hoy

File name: ENKYG.EXE.Muestra EliStartPage v21.44
Submission date: 2010-08-23 08:01:34 (UTC)
Current status: finished
Result: 23 /42 (54.8%)
 VT Community

not reviewed
 Safety score: – 
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2010.08.22.00 2010.08.21 Trojan/Win32.Vundo
AntiVir 8.2.4.38 2010.08.23 TR/Crypt.XPACK.Gen
Antiy-AVL 2.0.3.7 2010.08.23 Packed/Win32.Krap.gen
Authentium 5.2.0.5 2010.08.23 –
Avast 4.8.1351.0 2010.08.22 Win32:Trojan-gen
Avast5 5.0.332.0 2010.08.22 Win32:Trojan-gen
AVG 9.0.0.851 2010.08.22 FakeAlert.TH
BitDefender 7.2 2010.08.23 Gen:Variant.Bredo.8
CAT-QuickHeal 11.00 2010.08.23 Win32.Packed.Krap.hm.4
ClamAV 0.96.2.0-git 2010.08.23 –
Comodo 5827 2010.08.23 Heur.Packed.Unknown
DrWeb 5.0.2.03300 2010.08.23 BackDoor.Qbot.20
Emsisoft 5.0.0.37 2010.08.23 –
eSafe 7.0.17.0 2010.08.22 –
eTrust-Vet 36.1.7804 2010.08.21 –
F-Prot 4.6.1.107 2010.08.22 –
F-Secure 9.0.15370.0 2010.08.23 Gen:Variant.Bredo.8
Fortinet 4.1.143.0 2010.08.22 –
GData 21 2010.08.23 Gen:Variant.Bredo.8
Ikarus T3.1.1.88.0 2010.08.23 –
Jiangmin 13.0.900 2010.08.23 Packed.Krap.czkt
Kaspersky 7.0.0.125 2010.08.23 Packed.Win32.Krap.hm
McAfee 5.400.0.1158 2010.08.23 –
McAfee-GW-Edition 2010.1B 2010.08.23 –
Microsoft 1.6103 2010.08.23 PWS:Win32/Zbot.gen!Y
NOD32 5387 2010.08.23 a variant of Win32/Kryptik.FPO
Norman 6.05.11 2010.08.22 –
nProtect 2010-08-23.01 2010.08.23 Gen:Variant.Bredo.8
Panda 10.0.2.7 2010.08.22 Suspicious file
PCTools 7.0.3.5 2010.08.23 –
Prevx 3.0 2010.08.23 –
Rising 22.62.00.03 2010.08.23 –
Sophos 4.56.0 2010.08.23 Mal/Qbot-B
Sunbelt 6777 2010.08.23 –
SUPERAntiSpyware 4.40.0.1006 2010.08.23 Trojan.Agent/Gen-Falleg
Symantec 20101.1.1.7 2010.08.23 –
TheHacker 6.5.2.1.355 2010.08.23 –
TrendMicro 9.120.0.1004 2010.08.23 BKDR_QAKBOT.SMC
TrendMicro-HouseCall 9.120.0.1004 2010.08.23 BKDR_QAKBOT.SMC
VBA32 3.12.14.0 2010.08.20 Malware-Cryptor.Win32.General.4
ViRobot 2010.8.18.3995 2010.08.23 –
VirusBuster 5.0.27.0 2010.08.22 –
Additional information
MD5   : 17060a999eefe87967bacae3bc77e683
SHA1  : 76da71589734fd78e9d3fcb54fd020e00acffcb0
Son muy numerosas las variantes de ZBOT descargadas por los Bredolab, y es habitual que se acuse la infección de los mismos por la aparición de dobles acentos cuando se escribe con el Word o el Notepad, una palabra acentuada,

Es una ventaja que tenemos los que escribimos en castellano, pues los que lo hacen en otros idiomas que no usan acentos, como el inglés, estos malwares pasan desapercibidos.

A partor de las 15 h estará disponible en nuestra web, la version 21.46 del ELISTARA que lo detecta y elimina.

saludos

ms, 24-8-2010