ULTIMA HORA: Nuevo malware que llega en mail aparentando ser una citacion de la policia

 PSWTOOL.MAILPASSVIEW

Un nuevo malware que llega adjunto a un e-mail que aparenta ser una citación de la POLICIA NACIONAL, y que aun está poco controlado actualmente, lo pasamos a controlar a partir del ELISTARA 22.31 de hoy (12 de 43 AV):

File name: sitacion.scr
Submission date: 2010-12-30 07:59:34 (UTC)
Current status: finished
Result: 12 /43 (27.9%)
 VT Community

malware
 Safety score: 0.0% 
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2010.12.30.00 2010.12.29 –
AntiVir 7.11.0.220 2010.12.29 DR/Delphi.Gen
Antiy-AVL 2.0.3.7 2010.12.30 –
Avast 4.8.1351.0 2010.12.29 –
Avast5 5.0.677.0 2010.12.29 Win32:PSWtool-K
AVG 9.0.0.851 2010.12.30 –
BitDefender 7.2 2010.12.30 –
CAT-QuickHeal 11.00 2010.12.30 (Suspicious) – DNAScan
ClamAV 0.96.4.0 2010.12.30 –
Command 5.2.11.5 2010.12.30 –
Comodo 7233 2010.12.30 –
DrWeb 5.0.2.03300 2010.12.30 –
Emsisoft 5.1.0.1 2010.12.30 Gen:Trojan!IK
eSafe 7.0.17.0 2010.12.28 –
eTrust-Vet 36.1.8070 2010.12.29 –
F-Prot 4.6.2.117 2010.12.29 –
F-Secure 9.0.16160.0 2010.12.30 Gen:Application.Heur.kq3@bmYI1ejO
Fortinet 4.2.254.0 2010.12.29 –
GData 21 2010.12.30 –
Ikarus T3.1.1.90.0 2010.12.30 Gen:Trojan
Jiangmin 13.0.900 2010.12.30 –
K7AntiVirus 9.75.3383 2010.12.29 –
Kaspersky 7.0.0.125 2010.12.30 not-a-virus:PSWTool.Win32.MailPassView.ii
McAfee 5.400.0.1158 2010.12.30 –
McAfee-GW-Edition 2010.1C 2010.12.29 Heuristic.BehavesLike.ModifiedUPX.C
Microsoft 1.6402 2010.12.30 HackTool:Win32/Mailpassview
NOD32 5744 2010.12.29 a variant of Win32/PSWTool.MailPassView.E
Norman 6.06.12 2010.12.29 –
nProtect 2010-12-30.01 2010.12.30 –
Panda 10.0.2.7 2010.12.29 –
PCTools 7.0.3.5 2010.12.30 –
Prevx 3.0 2010.12.30 –
Rising 22.80.03.01 2010.12.30 Hack.Flooder.Delf.h
Sophos 4.60.0 2010.12.30 PassViewer
SUPERAntiSpyware 4.40.0.1006 2010.12.30 –
Symantec 20101.3.0.103 2010.12.30 –
TheHacker 6.7.0.1.108 2010.12.30 –
TrendMicro 9.120.0.1004 2010.12.30 –
TrendMicro-HouseCall 9.120.0.1004 2010.12.30 –
VBA32 3.12.14.2 2010.12.28 –
VIPRE 7879 2010.12.30 –
ViRobot 2010.12.30.4228 2010.12.30 –
VirusBuster 13.6.119.0 2010.12.29 –
Additional informationShow all 
MD5   : 83770d9ee700b5e000b9a29c046897aa
SHA1  : 65e8d8a3432813b99ec809c8f30924dd27adbd3d

File size : 464384 bytes

El mail como llega tiene esta presentación:

__________________

PROCEDIMENTO INVESTIGATÓRIO N.º 363.234/2010

Assunto:NOTIFICACIÓN DE ASISTENCIA EN LA AUDIENCIA en el procedimiento de investigación de que se trata en esta conducta regional
Para que se adjunta.

ANEXO: NOTIFICACIÓN-MPF.SCR (32k)

NOTIFICACIÓN-MPF.SCR (32k) 

ESTA COMUNICACION ES CONFIDENCIAL Y VA DIRIGIDA EXCLUSIVAMENTE A LA PERSONA / PUESTO / DEPARTAMENTO / ENTIDAD QUE FIGURAN COMO DESTINATARIO. DIPUTACION PROVINCIAL DE ZARAGOZA CUENTA CON LAS MEDIDAS EXIGIDAS REGLAMENTARIAMENTE PARA GARANTIZAR LA SEGURIDAD DE LOS DATOS. LOS DATOS DE SU CUENTA DE CORREO ELECTRONICO FORMAN PARTE DE FICHEROS DE GESTION DE CONTACTOS Y E-MAIL RESPONSABILIDAD DE DIPUTACION PROVINCIAL DE ZARAGOZA, UNICO DESTINATARIO DE LA INFORMACION APORTADA VOLUNTARIAMENTE POR USTED. ESTOS FICHEROS SE UTILIZAN PARA GESTION DE CONTACTOS Y CORREOS ELECTRONICOS, ASI COMO LA RESOLUCION DE CONSULTAS Y COMUNICADOS VIA TELEMATICA, LO CUAL NO PODRA; LLEVARSE A CABO SIN LOS DATOS DE SU CUENTA DE CORREO. LOS DERECHOS DE ACCESO, RECTIFICACION, CANCELACION Y OPOSICION PODRA SER EJERCIDOS MEDIANTE ESCRITO DIRIGIDO A PLAZA DE ESPAñA N.2 50071 ZARAGOZA (ZARAGOZA).
************************************************************************************
This footnote confirms that this email message has been scanned by
PineApp Mail-SeCure for the presence of malicious code, vandals & computer viruses.
************************************************************************************
______________________

Cabe indicar que el fichero anexado se llama “sitacion.scr” y la falta ortográfica de la primera letra ya levanta sospechas, si se mira, claro !

Al abrir dicho .SCR se ejecuta el fichero infectando al ordenador, si el antivirus aun no lo controla, como puede ser el caso al ser muy reciente.

Actualmente NO LO DETECTAN antivirus conocidos como  AVG 9.0.0.851 2010.12.30 – BitDefender 7.2 2010.12.30 – DrWeb 5.0.2.03300 2010.12.30 – eSafe 7.0.17.0 2010.12.28 – eTrust-Vet 36.1.8070 2010.12.29 – F-Prot 4.6.2.117 2010.12.29 –
Fortinet 4.2.254.0 2010.12.29 – GData 21 2010.12.30 – Norman 6.06.12 2010.12.29 – Panda 10.0.2.7 2010.12.29 – PCTools 7.0.3.5 2010.12.30 – Prevx 3.0 2010.12.30 – SUPERAntiSpyware 4.40.0.1006 2010.12.30 – Symantec 20101.3.0.103 2010.12.30 – TheHacker 6.7.0.1.108 2010.12.30 – TrendMicro 9.120.0.1004 2010.12.30 –

asi que mucho cuidado, porque es cuando mas se propaga  !!!

A partir de la version de hoy de nuestro ELISTARA 22.31 ya se controla y elimina este nuevo malware

saludos

ms, 30-12-2010