Nueva variante de SPY ZBOT detectada por la heuristica del ELISTARA

Una muestra pedida por el ELISTARA ha pasado a ser controlada como SPY ZBOT por la version de hoy 23.02 de dicha utilidad.

Notese que McAfee le llama PinkSlipBot, lo cual para nosotros es tambien Rootkit pero ademas keylogger, lo cual no hemos visto en esta muestra, por lo cual lo añadimos a la familia de los ZBOT que son similares.

El preanalisis con VirusTotal nos ofrece el siguiente informe:

File name: RUWE.EXE.Muestra EliStartPage v23.00
Submission date: 2011-04-11 10:44:44 (UTC)
Current status: finished
Result: 14 /42 (33.3%)
VT Community

malware
Safety score: 0.0%
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.04.11.03 2011.04.11 Malware/Win32.Generic
AntiVir 7.11.6.46 2011.04.11 –
Antiy-AVL 2.0.3.7 2011.04.11 –
Avast 4.8.1351.0 2011.04.11 Win32:Malware-gen
Avast5 5.0.677.0 2011.04.11 Win32:Malware-gen
AVG 10.0.0.1190 2011.04.11 Generic21.COEN
BitDefender 7.2 2011.04.11 Gen:Variant.Kazy.18302
CAT-QuickHeal 11.00 2011.04.11 –
ClamAV 0.97.0.0 2011.04.10 –
Commtouch 5.2.11.5 2011.04.06 –
Comodo 8299 2011.04.11 –
DrWeb 5.0.2.03300 2011.04.11 –
Emsisoft 5.1.0.5 2011.04.11 Gen.Variant.Zbot!IK
eSafe 7.0.17.0 2011.04.10 –
eTrust-Vet 36.1.8261 2011.04.08 –
F-Prot 4.6.2.117 2011.04.10 –
F-Secure 9.0.16440.0 2011.04.11 Gen:Variant.Kazy.18302
Fortinet 4.2.254.0 2011.04.09 –
GData 22 2011.04.11 Gen:Variant.Kazy.18302
Ikarus T3.1.1.103.0 2011.04.11 Gen.Variant.Zbot
Jiangmin 13.0.900 2011.04.09 –
K7AntiVirus 9.96.4347 2011.04.09 –
Kaspersky 7.0.0.125 2011.04.11 –
McAfee 5.400.0.1158 2011.04.11 W32/Pinkslipbot.gen.ak
McAfee-GW-Edition 2010.1C 2011.04.11 W32/Pinkslipbot.gen.ae
Microsoft 1.6702 2011.04.11 –
NOD32 6032 2011.04.11 a variant of Win32/Kryptik.MJL
Norman 6.07.07 2011.04.10 –
Panda 10.0.3.5 2011.04.10 Bck/Qbot.AO
PCTools 7.0.3.5 2011.04.11 –
Prevx 3.0 2011.04.11 –
Rising 23.52.06.03 2011.04.10 –
Sophos 4.64.0 2011.04.11 Mal/FakeAV-JX
SUPERAntiSpyware 4.40.0.1006 2011.04.10 –
Symantec 20101.3.2.89 2011.04.11 –
TheHacker 6.7.0.1.171 2011.04.10 –
TrendMicro 9.200.0.1012 2011.04.11 –
TrendMicro-HouseCall 9.200.0.1012 2011.04.11 –
VBA32 3.12.14.3 2011.04.11 –
VIPRE 8985 2011.04.11 –
ViRobot 2011.4.11.4404 2011.04.11 –
VirusBuster 13.6.298.0 2011.04.11 –
Additional informationShow all
MD5   : 814e1543e5b5c628cddd737144f104c1
SHA1  : f49a88732f63bfc13be2cadc6d8de341b043df05

File size : 181248 bytes

publisher….: Vlnfpklj Sqlkc
copyright….: Copyright (c) Vlnfpklj Sqlkc 2000-2007
product……: Vlnfpklj Rdyvxm Ivaweag
description..: Vlnfpklj Rdyvxm Ivaweag
original name: Vlnfpklj.exe
internal name: Vlnfpklj
file version.: 59, 24, 69, 109

La version 23.02 del ELISTARA que lo controla y elimina, estará disponible en nuestra web a partir de las 19 h CET de hoy

saludos

ms, 11-4-2011