Nuevo malware que crea ficheros .EXE con el nombre de las carpetas del directorio principal, ocultando estas.

Acabamos de detectar una nueva variante “singular” de troyano que oculta las carpetas y visualiza ficheros infectados con el nombre de las mismas y lo bautizamos inicialmente como MALWARE SYSTEM, si bien visto que es de la familia AUTORUN.O, proximamente le llamaremos asi.

Otra variante, que llega de cualquier forma y crea un fichero system.exe y una clave en el registro que lo lanza, y que tras ello se propaga por pendrive y cambia los atributos de todas las carpetas del directorio principal, ocultandolas, y en su lugar crea ficheros .EXE con su mismo nombre, propagadores del mismo virus, pasa a ser controlado con el ELISTARA de hoy 20.45

Recomendamos como siempre vacunar el ordenador y pendrives con el ELIPEN, para evitar la propagacion de virus de este tipo.

Muy pocos antivirus lo detectan actualmente:
File WINDOWS.EXE.Muestra_EliStartPage_ received on 2010.03.03 16:49:44 (UTC)
Current status: finished

Result: 7/41 (17.07%)
 Compact Print results  Antivirus Version Last Update Result
a-squared 4.5.0.50 2010.03.03 –
AhnLab-V3 5.0.0.2 2010.03.03 –
AntiVir 8.2.1.180 2010.03.03 –
Antiy-AVL 2.0.3.7 2010.03.03 –
Authentium 5.2.0.5 2010.03.03 –
Avast 4.8.1351.0 2010.03.03 Win32:Malware-gen
Avast5 5.0.332.0 2010.03.03 Win32:Malware-gen
AVG 9.0.0.730 2010.03.03 –
BitDefender 7.2 2010.03.03 –
CAT-QuickHeal 10.00 2010.03.03 –
ClamAV 0.96.0.0-git 2010.03.03 –
Comodo 4091 2010.02.28 –
DrWeb 5.0.1.12222 2010.03.03 Trojan.Inject.5198
eSafe 7.0.17.0 2010.03.03 –
eTrust-Vet 35.2.7337 2010.03.03 –
F-Prot 4.5.1.85 2010.03.03 –
F-Secure 9.0.15370.0 2010.03.03 –
Fortinet 4.0.14.0 2010.02.28 –
GData 19 2010.03.03 Win32:Malware-gen
Ikarus T3.1.1.80.0 2010.03.03 –
Jiangmin 13.0.900 2010.03.03 –
K7AntiVirus 7.10.989 2010.03.03 –
Kaspersky 7.0.0.125 2010.03.03 Trojan-Dropper.Win32.VB.aktl
McAfee 5909 2010.03.03 –
McAfee+Artemis 5909 2010.03.03 –
McAfee-GW-Edition 6.8.5 2010.03.03 Heuristic.LooksLike.Win32.Suspicious.R!92
Microsoft 1.5502 2010.03.03 –
NOD32 4912 2010.03.03 –
Norman 6.04.08 2010.03.03 –
nProtect 2009.1.8.0 2010.03.03 –
Panda 10.0.2.2 2010.03.02 –
PCTools 7.0.3.5 2010.03.03 –
Rising 22.37.02.04 2010.03.03 –
Sophos 4.50.0 2010.03.03 –
Sunbelt 5739 2010.03.03 –
Symantec 20091.2.0.41 2010.03.03 Suspicious.Insight
TheHacker 6.5.1.7.218 2010.03.03 –
TrendMicro 9.120.0.1004 2010.03.03 –
VBA32 3.12.12.2 2010.03.02 –
ViRobot 2010.3.3.2210 2010.03.03 –
VirusBuster 5.0.27.0 2010.03.03 –
Additional information
File size: 536390 bytes
MD5   : b9bc72e7f1b229c6f32c0c2b27752430
SHA1  : 098fabb9f02b12015f23a675f798c3af80d3114c

La restauracion total vendrá, tras ello, por quitar los atributos de S, H, R a las carpetas ocultadas, lo cual es muy fácil con el ATTRIB del DOS, pero trataremos de que el ELISTARA lo haga automaticamente sobre las carpetas ocultadas en funcion de los ficheros  detectados con dicho malware

Es un bicho que da un buen susto al usuario al pensar que se han borrado dichas carpetas, pero que afortunadamente pasamos a controlar y solucionar, como siempre 🙂

saludos

ms, 3-3-2010