Nueva variante de troyano en falso mail de DHL

Otra variante de los conocidos mails de DHL, esta vez llega en fichero DHL_notification.exe , dentro de un ZIP anexado al mail

File name: DHL_notification.exe
Submission date: 2011-03-10 08:21:26 (UTC)
Current status: finished
Result: 15 /43 (34.9%)
VT Community

malware
Safety score: 0.0%
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.03.10.03 2011.03.10 Win-Trojan/Securisk
AntiVir 7.11.4.145 2011.03.10 –
Antiy-AVL 2.0.3.7 2011.03.09 –
Avast 4.8.1351.0 2011.03.09 –
Avast5 5.0.677.0 2011.03.09 –
AVG 10.0.0.1190 2011.03.09 –
BitDefender 7.2 2011.03.10 Trojan.Generic.KDV.152507
CAT-QuickHeal 11.00 2011.03.10 –
ClamAV 0.96.4.0 2011.03.10 BC.Heuristic.Trojan.SusPacked.BF-6.A
Commtouch 5.2.11.5 2011.03.10 W32/Trojan2.NMQL
Comodo 7929 2011.03.09 –
DrWeb 5.0.2.03300 2011.03.10 Trojan.DownLoader2.20689
Emsisoft 5.1.0.2 2011.03.10 Win32.Outbreak!IK
eSafe 7.0.17.0 2011.03.09 –
eTrust-Vet 36.1.8207 2011.03.10 –
F-Prot 4.6.2.117 2011.03.09 –
F-Secure 9.0.16440.0 2011.03.10 Trojan-Downloader:W32/Karagany.F
Fortinet 4.2.254.0 2011.03.10 –
GData 21 2011.03.10 Trojan.Generic.KDV.152507
Ikarus T3.1.1.97.0 2011.03.10 Win32.Outbreak
Jiangmin 13.0.900 2011.03.10 –
K7AntiVirus 9.92.4065 2011.03.09 –
Kaspersky 7.0.0.125 2011.03.10 Trojan-Spy.Win32.SpyEyes.fow
McAfee 5.400.0.1158 2011.03.10 –
McAfee-GW-Edition 2010.1C 2011.03.10 –
Microsoft 1.6603 2011.03.10 –
NOD32 5940 2011.03.09 –
Norman 6.07.03 2011.03.09 –
nProtect 2011-02-10.01 2011.02.15 –
Panda 10.0.3.5 2011.03.09 –
PCTools 7.0.3.5 2011.03.10 Trojan.FakeAV!rem
Prevx 3.0 2011.03.10 Medium Risk Malware
Rising 23.48.03.03 2011.03.10 –
Sophos 4.63.0 2011.03.10 Troj/Bredo-FI
SUPERAntiSpyware 4.40.0.1006 2011.03.10 –
Symantec 20101.3.0.103 2011.03.10 Trojan.FakeAV
TheHacker 6.7.0.1.147 2011.03.10 –
TrendMicro 9.200.0.1012 2011.03.10 –
TrendMicro-HouseCall 9.200.0.1012 2011.03.10 TROJ_BREDO.AH
VBA32 3.12.14.3 2011.03.09 –
VIPRE 8654 2011.03.10 –
ViRobot 2011.3.10.4351 2011.03.10 –
VirusBuster 13.6.243.0 2011.03.09 –
Additional informationShow all
MD5   : 64901cfdfb576d7c7c1d4f1f240315e2
SHA1  : b6c5a7d097cdcc9b71b010c7cfcedde6d0616e3f

File size : 35328 bytes

publisher….: Adobe Systems Incorporated
copyright….: (c) 2002-20010 Adobe Systems Incorporated
product……: Adobe XSLT Engine
description..: Adobe XSLT Engine
original name: Adobe XSLT Engine.exe
internal name: Adobe XSLT Engine
file version.: 3.4.102.2579

Inmediatamente lo detectamos gracias al ELIMD5.EXE, introduciendo uno de los dos hash indicados, por ejemplo:

64901cfdfb576d7c7c1d4f1f240315e2

Lo cual detectará, copiará a C:\muestras\ y añadirá .VIR a la extensión  de las copias de dicho troyano, evitando su relanzamiento en posteriores reinicios

Tan pronto nos llegue muestra de este, del que solo nos han avisado de su existencia en España, pasaremos a controlarlo en la siguiente versión del ELISTARA

saludos

ms, 10/3/2011