Nueva variante de FAKE TOOL DATA RECOVERY cazada por la heuristica del ELISTARA

Siguen las variantes de esta malware que se presenta como herramienta de recuperacion y que lo que hace es instalar el malware y ocultar todos los ficheros del disco duro.

Ya la semana pasada detectamos y controlamos las primeras variantes que tenian esta malicia, pues las anteriores solo ocultaban el escritorio, mientras que estas lo ocultan todo, pero cOn el ELISTARA que las controla se elimina el malware y, si aun ha detectado ficheros infectados, recupera los fciheros ocultados, no haciendolo si se ha eliminado con otro medio todos los ficheros malware.

Por ello cuando el ELISTARA detecta un sospechoso, aunque lo elimine de la circulacion, deja una copia en C:\muestras, para enviarnosla como ha sido el caso, y para proceder en consecuencia cuando se utilice la version que hagamos al respecto, recuperando la visualización de los ocultados.

El preanalisis del VirusTotal ofrece el siguiente informe:
File name: KWYDOGAFXMOJL.EXE.Muestra EliStartPage v23.78
Submission date: 2011-09-19 07:58:32 (UTC)
Current status: queued queued analysing finished
Result: 29/ 43 (67.4%)
VT Community

malware
Safety score: 0.0%
Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2011.09.18.00 2011.09.18 Trojan/Win32.Jorik
AntiVir 7.11.14.224 2011.09.18 TR/FakeSysdef.A.2008
Antiy-AVL 2.0.3.7 2011.09.19 Trojan/Win32.Jorik.gen
Avast 4.8.1351.0 2011.09.18 Win32:FakeAlert-BEA [Trj]
Avast5 5.0.677.0 2011.09.18 Win32:FakeAlert-BEA [Trj]
AVG 10.0.0.1190 2011.09.18 Generic24.CHPS
BitDefender 7.2 2011.09.19 Trojan.Generic.KD.359516
ByteHero 1.0.0.1 2011.09.13 Trojan.Win32.Heur.Gen
CAT-QuickHeal 11.00 2011.09.19 (Suspicious) – DNAScan
ClamAV 0.97.0.0 2011.09.18 –
Commtouch 5.3.2.6 2011.09.18 –
Comodo 10165 2011.09.19 UnclassifiedMalware
DrWeb 5.0.2.03300 2011.09.19 Trojan.DownLoad2.36302
Emsisoft 5.1.0.11 2011.09.19 Trojan.Win32.Jorik!IK
eSafe 7.0.17.0 2011.09.18 –
eTrust-Vet 36.1.8566 2011.09.17 –
F-Prot 4.6.2.117 2011.09.18 –
Fortinet 4.3.370.0 2011.09.19 W32/Jorik_Fraud.DQD!tr
GData 22 2011.09.19 Trojan.Generic.KD.359516
Ikarus T3.1.1.107.0 2011.09.19 Trojan.Win32.Jorik
Jiangmin 13.0.900 2011.09.18 –
K7AntiVirus 9.113.5150 2011.09.17 –
Kaspersky 9.0.0.837 2011.09.19 Trojan.Win32.Jorik.Fraud.dqd
McAfee 5.400.0.1158 2011.09.19 Generic FakeAlert.ea
McAfee-GW-Edition 2010.1D 2011.09.19 FakeAlert-SysDef.b
Microsoft 1.7604 2011.09.19 Trojan:Win32/FakeSysdef
NOD32 6474 2011.09.19 Win32/TrojanDownloader.Prodatect.BK
Norman 6.07.11 2011.09.18 –
nProtect 2011-09-18.01 2011.09.18 Gen:Variant.Kazy.37720
Panda 10.0.3.5 2011.09.18 Trj/CI.A
PCTools 8.0.0.5 2011.09.19 –
Prevx 3.0 2011.09.19 –
Rising 23.76.00.02 2011.09.19 –
Sophos 4.69.0 2011.09.19 Mal/FakeAV-LS
SUPERAntiSpyware 4.40.0.1006 2011.09.17 Trojan.Agent/Gen-FakeAlert
Symantec 20111.2.0.82 2011.09.19 WS.Reputation.1
TheHacker 6.7.0.1.298 2011.09.17 –
TrendMicro 9.500.0.1008 2011.09.19 TROJ_KRYPTK.SMUF
TrendMicro-HouseCall 9.500.0.1008 2011.09.19 TROJ_KRYPTK.SMUF
VBA32 3.12.16.4 2011.09.16 –
VIPRE 10520 2011.09.19 Trojan.Win32.Generic.pak!cobra
ViRobot 2011.9.19.4675 2011.09.19 –
VirusBuster 14.0.219.0 2011.09.18 Trojan.Kryptik!A9ebtoKxEbU
Additional informationShow all
MD5   : 2b2fb1a1b3c25ef787471fd7a2c95a49
SHA1  : ef50eecf0e56511f2835bd0d636dfded58e9d6bb
File size : 467968 bytes
publisher….: RealVNC Ltd.
copyright….: Copyright (c) RealVNC Ltd. 2002-2008
product……: VNC Server Free Edition
description..: VNC Server Free Edition for Win32
original name: winvnc4.exe
internal name: free4/winvnc
file version.: 4.1.3

Dicha version del ELISTARA 23.90 QUE LO DETECTA Y ELIMINA, ESTARÁ DISPONIBLE EN NUESTRA WEB A PARTIR DE LAS 19 h CEST de hoy

saludos

ms, 19-9-2011