Nueva variante de DOWNLOADER, controlada actualmente por solo 13 de 43 AV de VT

Este downloader descarga dos ficheros, un OCX de Microsoft y una DLL

la OCX tiene estas propiedades:

File size : 166200 bytes

publisher….: Microsoft Corporation
copyright….: Copyright (c) 1987-1998 Microsoft Corp.
product……: MSMask
description..: MSMask
original name: n/a
internal name: MSMask
file version.: 6.00.8169
comments…..: June 18, 1998
signers……: Microsoft Corporation
VeriSign Commercial Software Publishers CA
signing date.: 8:01 PM 6/24/1998

y es identica a la que instala Windows, pero la DLL ya es otro cantar, genera una clave BHO y la pasamos a controlar como Trojan BHO CLSNESTLE, mientras que al troyano Downloader lo identificamos como Downloader CLSNESTLE

El preanalisis de virustotal ofrece el siguiente informe:
File name: ComprovanteEletronico.Docx.exe
Submission date: 2011-05-18 09:36:09 (UTC)
Result: 13/ 43 (30.2%)
VT Community

not reviewed
Safety score: –
Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2011.05.18.01 2011.05.18 –
AntiVir 7.11.8.54 2011.05.18 HEUR/Malware
Antiy-AVL 2.0.3.7 2011.05.18 –
Avast 4.8.1351.0 2011.05.17 –
Avast5 5.0.677.0 2011.05.18 –
AVG 10.0.0.1190 2011.05.18 –
BitDefender 7.2 2011.05.18 Gen:Trojan.Heur.VP.lm0@a0Ayd8pi
CAT-QuickHeal 11.00 2011.05.18 TrojanDownloader.VB.z4
ClamAV 0.97.0.0 2011.05.18 –
Commtouch 5.3.2.6 2011.05.18 –
Comodo 8744 2011.05.18 –
DrWeb 5.0.2.03300 2011.05.18 Trojan.DownLoader2.60916
Emsisoft 5.1.0.5 2011.05.18 Trojan-Downloader.Win32.Bancos!IK
eSafe 7.0.17.0 2011.05.17 –
eTrust-Vet 36.1.8333 2011.05.18 –
F-Prot 4.6.2.117 2011.05.17 –
F-Secure 9.0.16440.0 2011.05.17 Gen:Trojan.Heur.VP.lm0@a0Ayd8pi
Fortinet 4.2.257.0 2011.05.18 –
GData 22 2011.05.18 Gen:Trojan.Heur.VP.lm0@a0Ayd8pi
Ikarus T3.1.1.104.0 2011.05.18 Trojan-Downloader.Win32.Bancos
Jiangmin 13.0.900 2011.05.17 –
K7AntiVirus 9.103.4669 2011.05.17 –
Kaspersky 9.0.0.837 2011.05.18 Trojan-Banker.Win32.BHO.ado
McAfee 5.400.0.1158 2011.05.18 –
McAfee-GW-Edition 2010.1D 2011.05.18 –
Microsoft 1.6802 2011.05.18 TrojanDownloader:Win32/Banload.XI
NOD32 6130 2011.05.18 probably a variant of Win32/TrojanDownloader.Banload.PXR
Norman 6.07.07 2011.05.18 –
nProtect 2011-05-18.01 2011.05.18 –
Panda 10.0.3.5 2011.05.17 Generic Trojan
PCTools 7.0.3.5 2011.05.17 –
Prevx 3.0 2011.05.18 –
Rising 23.58.01.05 2011.05.17 –
Sophos 4.65.0 2011.05.18 Mal/Generic-L
SUPERAntiSpyware 4.40.0.1006 2011.05.18 –
Symantec 20111.1.0.186 2011.05.18 –
TheHacker 6.7.0.1.199 2011.05.17 –
TrendMicro 9.200.0.1012 2011.05.18 –
TrendMicro-HouseCall 9.200.0.1012 2011.05.18 –
VBA32 3.12.16.0 2011.05.12 –
VIPRE 9312 2011.05.18 –
ViRobot 2011.5.18.4465 2011.05.18 –
VirusBuster 13.6.359.0 2011.05.17 –

Additional informationShow all
MD5   : d5e627d09a2d4df6383c8d64dd8d5c5b
SHA1  : 1a11341c403b15f63aea71ac8ff61ef3721898ca

File size : 180224 bytes

publisher….: n/a
copyright….: n/a
product……: ultimo
description..: n/a
original name: load_multi2.exe
internal name: load_multi2
file version.: 1.00

Pasamos a controlarlos a partir de la version de hoy del ELISTARA 23.24, que estará disponible en nuestra web a partir de las 19 h CEST de hoy

saludos

ms, 18-5-2011