Siguen las nuevas variantes del FAKE AV MICROSOFT SECURITY ESSENTIAL ALERT

Una nueva variante del FAKE AV MSEA ha sido detectada por la heuristica del ELISTARA y pedida para analizar

En el preanalisis vemos que solo lo detectan 14 de 38 antivirus actualizados:
File name: ttux.qqo.tmp
Submission date: 2010-11-17 12:56:05 (UTC)
Current status: finished
Result: 14 /38 (36.8%)
 VT Community

not reviewed
 Safety score: – 
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2010.11.17.01 2010.11.17 –
AntiVir 7.10.14.29 2010.11.17 TR/Agent.22528.AB
Antiy-AVL 2.0.3.7 2010.11.17 –
Avast 4.8.1351.0 2010.11.17 Win32:Malware-gen
Avast5 5.0.594.0 2010.11.17 Win32:Malware-gen
BitDefender 7.2 2010.11.17 Gen:Variant.Kazy.432
CAT-QuickHeal 11.00 2010.11.09 –
ClamAV 0.96.4.0 2010.11.17 –
Command 5.2.11.5 2010.11.17 –
Comodo 6746 2010.11.16 –
DrWeb 5.0.2.03300 2010.11.17 –
Emsisoft 5.0.0.50 2010.11.17 Gen.Variant!IK
eTrust-Vet 36.1.7982 2010.11.17 –
F-Prot 4.6.2.117 2010.11.17 –
F-Secure 9.0.16160.0 2010.11.17 Gen:Variant.Kazy.432
Fortinet 4.2.254.0 2010.11.17 –
GData 21 2010.11.17 Gen:Variant.Kazy.432
Ikarus T3.1.1.90.0 2010.11.17 Gen.Variant
Jiangmin 13.0.900 2010.11.17 –
K7AntiVirus 9.67.3003 2010.11.17 –
Kaspersky 7.0.0.125 2010.11.17 –
McAfee 5.400.0.1158 2010.11.17 –
McAfee-GW-Edition 2010.1C 2010.11.17 –
Microsoft 1.6402 2010.11.17 –
NOD32 5626 2010.11.17 Win32/Oficla.IF
nProtect 2010-11-17.01 2010.11.17 Gen:Variant.Kazy.432
PCTools 7.0.3.5 2010.11.17 Trojan.Sasfis
Prevx 3.0 2010.11.17 –
Rising 22.74.02.03 2010.11.17 –
Sophos 4.59.0 2010.11.17 Troj/Agent-PKO
SUPERAntiSpyware 4.40.0.1006 2010.11.17 Trojan.Agent/Gen-NumTemp
TheHacker 6.7.0.1.086 2010.11.17 –
TrendMicro 9.120.0.1004 2010.11.17 –
TrendMicro-HouseCall 9.120.0.1004 2010.11.17 –
VBA32 3.12.14.2 2010.11.16 –
VIPRE 7331 2010.11.17 Trojan.Win32.Sasfis.a (v)
ViRobot 2010.11.17.4153 2010.11.17 –
VirusBuster 12.76.3.0 2010.11.16 –
Additional informationShow all 
MD5   : e45762cf5224a116b58768ebdc2fbeab
SHA1  : af835e4ada349138c42cd25c345262b08b3c8667
SHA256: f9cdd7dd94967e2bfeecd1020121c87c911e8401be26b16ca316d82169b934dd
ssdeep: 384:7fLlfLeAO7HJAl8Y9WzwS+EJhbH42raMr:BHO7HJAl8YFshs23
File size : 22528 bytes

En cambio el HOTFIX.EXE complementario, ya ha sido detectado y eliminado por McAfee, y ahora éste lo pasamos a controlar con la version de hoy del ELISTARA 22.03

En este caso se ha tenido que arrancar en MODO SEGURO CON SOLO SIMBOLO DE SISTEMA para poder lanzar el ELISTARA, ya que, en esta variante, el malware se carga tanto en modo normal como en modo seguro debido a instalarse en un Shell del EXPLORER, por lo que si se lanza este, se carga el troyano, y la manera de que no incordie, es no lanzar el EXPLORER, como se hace si se arranca en modo MSDOS (solo simbolo de sistema)

saludos

ms, 17-11-2010