Nueva variante de RootKit DORKBOT, poco detectado aun sin estar en memoria (solo 13 de 42 AV)

Nueva variante de esta familia de RootKits que cuando estan en memoria no son visibles mas que por sus efectos en los pendrives, en los que oculta las carpetas existentes y crea links a las mismas cargando el malware.

Controlado a partir del ELISTARA 24.28 de hoy

El preanalisis con Virus Total, ofrece el siguiente informe:
File name: e621ca05.exe
Submission date: 2011-11-16 08:21:59 (UTC)
Result: 13/ 32 (40.6%)
VT Community

malware
Safety score: 0.0%
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.11.15.01 2011.11.15 –
AntiVir 7.11.17.179 2011.11.16 TR/Dldr.LGH
Antiy-AVL 2.0.3.7 2011.11.16 Trojan/Win32.VBKrypt.gen
Avast 6.0.1289.0 2011.11.15 Win32:Downloader-LGH [Trj]
BitDefender 7.2 2011.11.16 –
ClamAV 0.97.3.0 2011.11.15 BC.Heuristic.Trojan.SusPacked.BF-6.B
Commtouch 5.3.2.6 2011.11.16 –
Comodo 10778 2011.11.14 Heur.Corrupt.PE
Emsisoft 5.1.0.11 2011.11.16 –
eTrust-Vet 37.0.9568 2011.11.15 –
F-Prot 4.6.5.141 2011.11.16 –
Fortinet 4.3.370.0 2011.11.16 W32/DorkBot.B
GData 22 2011.11.16 Win32:Downloader-LGH
Ikarus T3.1.1.109.0 2011.11.16 –
Jiangmin 13.0.900 2011.11.15 Trojan/Pakes.nkj
K7AntiVirus 9.119.5466 2011.11.15 –
Kaspersky 9.0.0.837 2011.11.16 –
McAfee 5.400.0.1158 2011.11.16 Generic.dx!bbp4
McAfee-GW-Edition 2010.1D 2011.11.16 Generic.dx!bbp4
Microsoft 1.7801 2011.11.16 –
NOD32 6633 2011.11.16 Win32/Dorkbot.B
Norman 6.07.13 2011.11.15 –
nProtect 2011-11-16.01 2011.11.16 –
Panda 10.0.3.5 2011.11.15 W32/PasswordStealer.BN.worm
PCTools 8.0.0.5 2011.11.16 –
Prevx 3.0 2011.11.16 –
Rising 23.84.02.02 2011.11.16 –
TheHacker 6.7.0.1.343 2011.11.16 W32/Behav-Heuristic-CorruptFile-EP
TrendMicro 9.500.0.1008 2011.11.16 –
VBA32 3.12.16.4 2011.11.15 –
VIPRE 11060 2011.11.16 –
VirusBuster 14.1.65.0 2011.11.15 –
Additional informationShow all
MD5   : 17760b2b941bd7cfe7e98dc8ba68d6df
SHA1  : 42747372ffd52c498fc03ede7e17c6a033c45e6c

File size : 120850 bytes
Dicha version del ELISTARA 24.28 que lo detecta y elimina, estará disponible en nuestra web a partir de las 19 h CEST de hoy

saludos

ms, 16-11-2011