Una nueva variante de Rootkit ZBOT, que causa doble acento, apenas detectada actualmente

A través de una muestra solicitada por la heurística del ELISTARA, pasamos a controlar una nueva variante de Spy ZBOT, aun no controlada por la mayoría de antivirus (solo 15 de 43), como Antivir, ClamAV, F-Prot, McAfee, Norman, Panda ni Symantec:

File name: YVHAI.EXE.Muestra EliStartPage v21.64
Submission date: 2010-09-21 07:14:42 (UTC)
Current status: queued queued analysing finished
Result: 15/ 43 (34.9%)
 VT Community

not reviewed
 Safety score: – 
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2010.09.21.01 2010.09.21 –
AntiVir 8.2.4.58 2010.09.20 –
Antiy-AVL 2.0.3.7 2010.09.21 –
Authentium 5.2.0.5 2010.09.21 –
Avast 4.8.1351.0 2010.09.20 Win32:Trojan-gen
Avast5 5.0.594.0 2010.09.20 Win32:Trojan-gen
AVG 9.0.0.851 2010.09.21 Pakes.HHC
BitDefender 7.2 2010.09.21 Backdoor.Generic.450199
CAT-QuickHeal 11.00 2010.09.21 –
ClamAV 0.96.2.0-git 2010.09.21 –
Comodo 6150 2010.09.21 –
DrWeb 5.0.2.03300 2010.09.21 Trojan.PWS.Panda.514
Emsisoft 5.0.0.37 2010.09.21 –
eSafe 7.0.17.0 2010.09.20 –
eTrust-Vet 36.1.7867 2010.09.21 Win32/Zbot.CQX
F-Prot 4.6.2.117 2010.09.20 –
F-Secure 9.0.15370.0 2010.09.21 Trojan-Spy:W32/Zbot.PTZ
Fortinet 4.1.143.0 2010.09.21 –
GData 21 2010.09.21 Backdoor.Generic.450199
Ikarus T3.1.1.88.0 2010.09.21 –
Jiangmin 13.0.900 2010.09.21 –
K7AntiVirus 9.63.2561 2010.09.20 –
Kaspersky 7.0.0.125 2010.09.21 Trojan-Spy.Win32.Zbot.aorc
McAfee 5.400.0.1158 2010.09.21 –
McAfee-GW-Edition 2010.1C 2010.09.21 –
Microsoft 1.6201 2010.09.21 PWS:Win32/Zbot.gen!Y
NOD32 5465 2010.09.20 Win32/Spy.Zbot.ZR
Norman 6.06.06 2010.09.20 –
nProtect 2010-09-21.02 2010.09.21 Backdoor.Generic.450199
Panda 10.0.2.7 2010.09.20 –
PCTools 7.0.3.5 2010.09.21 –
Prevx 3.0 2010.09.21 –
Rising 22.66.00.03 2010.09.20 –
Sophos 4.57.0 2010.09.21 Mal/Zbot-U
Sunbelt 6903 2010.09.21 –
SUPERAntiSpyware 4.40.0.1006 2010.09.21 –
Symantec 20101.1.1.7 2010.09.21 –
TheHacker 6.7.0.0.025 2010.09.20 Trojan/Kryptik.guf
TrendMicro 9.120.0.1004 2010.09.21 PAK_Generic.001
TrendMicro-HouseCall 9.120.0.1004 2010.09.21 –
VBA32 3.12.14.0 2010.09.20 –
ViRobot 2010.9.8.4031 2010.09.21 –
VirusBuster 12.65.16.0 2010.09.20 –
Additional informationShow all 
MD5   : 8ce600f2ce04d00ab3ecb4b954105b8b
SHA1  : bb45b96aa49460247bc477c8664d68e11f87198b

File size : 146944 bytes

A partir de la version de hoy del ELISTARA 21.66, que estará disponible en la web a partir de las 19 horas,  se detectará esta nueva variante.

De momento se puede detectar y aparcar con el ELIMD5.EXE , entrando cualquier de los dos hashes indicados al final del analisis, por ejemplo 8ce600f2ce04d00ab3ecb4b954105b8b

saludos

ms, 21-9-2010