NUEVA VARIANTE DE FAKE TOOL SYSTEM REPAIR (DROPPER Y SCANNER)

Otra variante de este malware que “borra” los ficheros del escritorio pasamos a controlarlo a partir del ELISTARA 23.82 de hoy.

Básicamente lo forman dos ficheros, el DROPPER y el SCANNER, cuyos preanalisis con el virustotal nos ofrecen respectivamente los siguientes informes:
DROPPER:

File name:
JFMOPKOVMDX.EXE.Muestra EliStartPage v23.81
Submission date:
2011-09-07 15:25:45 (UTC)
Current status:
finished
Result:
34 /44 (77.3%)

VT Community

not reviewed
Safety score: –
Compact
Print results
Antivirus  Version  Last Update  Result
AhnLab-V3  2011.09.07.02  2011.09.07  Win-Trojan/Diple.Gen
AntiVir  7.11.14.132  2011.09.07  TR/FakeSysdef.A.1473
Antiy-AVL  2.0.3.7  2011.09.07  Trojan/Win32.FrauDrop.gen
Avast  4.8.1351.0  2011.09.07  Win32:Kryptik-EKI [Trj]
Avast5  5.0.677.0  2011.09.07  Win32:FakeSysdef-FY [Trj]
AVG  10.0.0.1190  2011.09.07  Suspicion: unknown virus
BitDefender  7.2  2011.09.07  Trojan.Generic.KD.330954
ByteHero  1.0.0.1  2011.08.22  Trojan.Win32.Heur.Gen
CAT-QuickHeal  11.00  2011.09.07  –
ClamAV  0.97.0.0  2011.09.07  –
Commtouch  5.3.2.6  2011.09.07  –
Comodo  10023  2011.09.07  UnclassifiedMalware
DrWeb  5.0.2.03300  2011.09.07  Trojan.Fakealert.23300
Emsisoft  5.1.0.11  2011.09.07  Trojan.Win32.FakeSysdef!IK
eSafe  7.0.17.0  2011.09.06  –
eTrust-Vet  36.1.8544  2011.09.07  –
F-Prot  4.6.2.117  2011.09.07  –
F-Secure  9.0.16440.0  2011.09.07  Trojan.Generic.KD.330954
Fortinet  4.3.370.0  2011.09.07  W32/Mdrop.DQJ!tr
GData  22  2011.09.07  Trojan.Generic.KD.330954
Ikarus  T3.1.1.107.0  2011.09.07  Trojan.Win32.FakeSysdef
Jiangmin  13.0.900  2011.09.07  TrojanDropper.FrauDrop.axw
K7AntiVirus  9.112.5100  2011.09.07  Trojan
Kaspersky  9.0.0.837  2011.09.07  Trojan-Dropper.Win32.FrauDrop.crx
McAfee  5.400.0.1158  2011.09.07  FakeAlert-SysDef.b
McAfee-GW-Edition  2010.1D  2011.09.06  FakeAlert-SysDef.b
Microsoft  1.7604  2011.09.07  Trojan:Win32/FakeSysdef
NOD32  6444  2011.09.07  a variant of Win32/Kryptik.SCP
Norman  6.07.11  2011.09.07  W32/Suspicious_Gen2.PMSVE
nProtect  2011-09-07.01  2011.09.07  Gen:Variant.Kazy.35148
Panda  10.0.3.5  2011.09.07  Generic Trojan
PCTools  8.0.0.5  2011.09.07  Trojan.Gen
Prevx  3.0  2011.09.07  –
Rising  23.74.02.03  2011.09.07  –
Sophos  4.69.0  2011.09.07  Troj/Mdrop-DQJ
SUPERAntiSpyware  4.40.0.1006  2011.09.07  Trojan.Agent/Gen-FakeAlert
Symantec  20111.2.0.82  2011.09.07  Trojan.Gen
TheHacker  6.7.0.1.291  2011.09.07  Trojan/Dropper.FrauDrop.crx
TrendMicro  9.500.0.1008  2011.09.06  –
TrendMicro-HouseCall  9.500.0.1008  2011.09.07  TROJ_KRYPTK.SMUB
VBA32  3.12.16.4  2011.09.07  Trojan-Dropper.Win32.FrauDrop.crx
VIPRE  10398  2011.09.07  Trojan.Win32.Generic.pak!cobra
ViRobot  2011.9.7.4661  2011.09.07  –
VirusBuster  14.0.203.0  2011.09.07  Trojan.DL.Prodatect!johal2Mee80
Additional information
MD5   : 13dd6260cf211e22b9771da016d595e0
SHA1  : 15d593b892a0c7f4c1dcd2a60d533a96abbf5aa4

File size : 400384 bytes
publisher….: Copyright (c) 2009 Atanas Neshkov
copyright….: Copyright (c) 2009 Atanas Neshkov
product……: Archiver tool
description..: Simple manager for archive files
original name: Archiver.exe
internal name: Archiver
file version.: 1.9.9.17
SCANNER:

File name:
P1KALMIG2KB7FZ.EXE.Muestra EliStartPage v23.81
Submission date:
2011-09-07 15:22:03 (UTC)
Current status:
finished
Result:
31 /44 (70.5%)

VT Community

not reviewed
Safety score: –
Compact
Print results
Antivirus  Version  Last Update  Result
AhnLab-V3  2011.09.07.02  2011.09.07  Win-Trojan/Diple.Gen
AntiVir  7.11.14.132  2011.09.07  TR/FakeSysdef.A.1468
Antiy-AVL  2.0.3.7  2011.09.07  –
Avast  4.8.1351.0  2011.09.07  Win32:Kryptik-EKI [Trj]
Avast5  5.0.677.0  2011.09.07  Win32:FakeSysdef-FY [Trj]
AVG  10.0.0.1190  2011.09.07  Suspicion: unknown virus
BitDefender  7.2  2011.09.07  Gen:Variant.Kazy.34486
ByteHero  1.0.0.1  2011.08.22  Trojan.Win32.Heur.Gen
CAT-QuickHeal  11.00  2011.09.07  –
ClamAV  0.97.0.0  2011.09.07  –
Commtouch  5.3.2.6  2011.09.07  –
Comodo  10023  2011.09.07  TrojWare.Win32.Trojan.Agent.Gen
DrWeb  5.0.2.03300  2011.09.07  Trojan.Fakealert.23300
Emsisoft  5.1.0.11  2011.09.07  Trojan.Win32.FakeSysdef!IK
eSafe  7.0.17.0  2011.09.06  –
eTrust-Vet  36.1.8544  2011.09.07  –
F-Prot  4.6.2.117  2011.09.07  –
F-Secure  9.0.16440.0  2011.09.07  Gen:Variant.Kazy.34486
Fortinet  4.3.370.0  2011.09.07  W32/Jorik.FR!tr
GData  22  2011.09.07  Gen:Variant.Kazy.34486
Ikarus  T3.1.1.107.0  2011.09.07  Trojan.Win32.FakeSysdef
Jiangmin  13.0.900  2011.09.07  TrojanDropper.FrauDrop.axw
K7AntiVirus  9.112.5100  2011.09.07  –
Kaspersky  9.0.0.837  2011.09.07  Trojan-Dropper.Win32.FrauDrop.crx
McAfee  5.400.0.1158  2011.09.07  FakeAlert-SysDef.b
McAfee-GW-Edition  2010.1D  2011.09.06  FakeAlert-SysDef.b
Microsoft  1.7604  2011.09.07  Trojan:Win32/FakeSysdef
NOD32  6444  2011.09.07  a variant of Win32/Kryptik.SCP
Norman  6.07.11  2011.09.07  W32/FakeSysdef.AH
nProtect  2011-09-07.01  2011.09.07  Gen:Variant.Kazy.34486
Panda  10.0.3.5  2011.09.07  Generic Trojan
PCTools  8.0.0.5  2011.09.07  Trojan.Gen
Prevx  3.0  2011.09.07  –
Rising  23.74.02.03  2011.09.07  –
Sophos  4.69.0  2011.09.07  Mal/FakeAV-LS
SUPERAntiSpyware  4.40.0.1006  2011.09.07  Trojan.Agent/Gen-FakeAlert
Symantec  20111.2.0.82  2011.09.07  Trojan.Gen.2
TheHacker  6.7.0.1.291  2011.09.07  –
TrendMicro  9.500.0.1008  2011.09.06  –
TrendMicro-HouseCall  9.500.0.1008  2011.09.07  TROJ_KRYPTK.SMUB
VBA32  3.12.16.4  2011.09.07  Trojan-Dropper.Win32.FrauDrop.crx
VIPRE  10398  2011.09.07  Trojan.Win32.Jorik.Fraud.un (v)
ViRobot  2011.9.7.4661  2011.09.07  –
VirusBuster  14.0.203.0  2011.09.07  Trojan.Kryptik!FJnUyjahr5g
Additional information
MD5   : c2240dbd2e1cb59895660ef115175382
SHA1  : 7df590482a726ff30e62996bc170c668acd18be8

File size : 316416 bytes
publisher….: Copyright (c) 2009 Atanas Neshkov
copyright….: Copyright (c) 2009 Atanas Neshkov
product……: Archiver tool
description..: Simple manager for archive files
original name: Archiver.exe
internal name: Archiver
file version.: 1.9.9.17

Dicha version del ELISTARA 23.82 que los detecta y elimina, estará disponible en nuestra web a partir de las 19 h CEST de hoy

Si desaparece el escritorio, lo mejor es descargar el ELISTARA.EXE desde otro ordenador a un pendrive, y colocarlo en el ordenador afectado, y lanzar desde dicho pendrive el ELISTARA, el cual si detecta el malware (aunque sea en C:\muestras),  lo eliminará, restaurará las claves modificadas y los links perdidos (si no se han borrado antes o eliminado la infección con otro medio), con lo que, tras reiniciar, reaparecerá la normalidad, dentro de lo posible.

Es de los FAKE mas maliciosos, pues segun como opere el usuario, puede ser peor el remedio que la enfermedad…

saludos

ms, 7-9-2011