Nuevas variantes de generadores de ALUREON pasados a controlar a partir de ELISTARA 22.87

El VBNA descarga dos temporales que generan un EXE y una DLL, que instalan el ALUREON en el MBR:

Ayer solo 4 AV los detectaban y hoy ya son 14 en un caso y 15 en el otro:
Este temporal lo convierte en .EXE y al ejecutarse infecta el MBR

File name: 3.tmp
Submission date: 2011-03-24 08:48:20 (UTC)
Current status: queued (#7) queued analysing finished
Result: 14/ 41 (34.1%)
VT Community

not reviewed
Safety score: –
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.03.24.01 2011.03.24 Trojan/Win32.Tdss
AntiVir 7.11.5.53 2011.03.24 TR/Shutdown.aba
Antiy-AVL 2.0.3.7 2011.03.24 –
Avast 4.8.1351.0 2011.03.23 –
Avast5 5.0.677.0 2011.03.23 –
AVG 10.0.0.1190 2011.03.23 –
BitDefender 7.2 2011.03.24 Gen:Variant.Kazy.16673
CAT-QuickHeal 11.00 2011.03.24 –
ClamAV 0.96.4.0 2011.03.24 –
Commtouch 5.2.11.5 2011.03.24 –
Comodo 8085 2011.03.24 TrojWare.Win32.Olmarik.AOG
DrWeb 5.0.2.03300 2011.03.24 BackDoor.Tdss.based.7
eSafe 7.0.17.0 2011.03.22 –
eTrust-Vet 36.1.8233 2011.03.24 Win32/TDSS.G!generic
F-Prot 4.6.2.117 2011.03.23 –
F-Secure 9.0.16440.0 2011.03.23 –
Fortinet 4.2.254.0 2011.03.24 –
GData 21 2011.03.24 Gen:Variant.Kazy.16673
Ikarus T3.1.1.97.0 2011.03.24 –
Jiangmin 13.0.900 2011.03.24 –
K7AntiVirus 9.94.4194 2011.03.23 –
McAfee 5.400.0.1158 2011.03.24 Generic Dropper.va.gen.q
McAfee-GW-Edition 2010.1C 2011.03.24 Heuristic.LooksLike.Heuristic.BehavesLike.Win32.Trojan.B
Microsoft 1.6702 2011.03.24 –
NOD32 5980 2011.03.24 a variant of Win32/Kryptik.LXJ
Norman 6.07.03 2011.03.24 –
nProtect 2011-02-10.01 2011.02.15 –
Panda 10.0.3.5 2011.03.24 Trj/CI.A
PCTools 7.0.3.5 2011.03.24 Backdoor.Tidserv
Prevx 3.0 2011.03.24 –
Rising 23.50.01.11 2011.03.23 –
Sophos 4.64.0 2011.03.24 –
SUPERAntiSpyware 4.40.0.1006 2011.03.24 –
Symantec 20101.3.0.103 2011.03.24 Backdoor.Tidserv.M
TheHacker 6.7.0.1.156 2011.03.24 –
TrendMicro 9.200.0.1012 2011.03.24 –
TrendMicro-HouseCall 9.200.0.1012 2011.03.24 –
VBA32 3.12.14.3 2011.03.23 –
VIPRE 8801 2011.03.24 Trojan.Win32.Generic!BT
ViRobot 2011.3.24.4373 2011.03.24 –
VirusBuster 13.6.266.0 2011.03.23 –
Additional informationShow all
MD5   : 82a8498ef141d9e90f959257d775d47e
SHA1  : 1753629b764d8e24e5a518b06726c1647c4fa13a

File size : 129024 bytes

publisher….: Cadillac
copyright….: n/a
product……: Cadillac
description..: Cadillac
original name: Cadillac
internal name: Cadillac
file version.: 5,47,461,1983
comments…..: Cadillac

y un segundo temporal lo convierte en DLL:

File name: 5.tmp
Submission date: 2011-03-24 08:12:11 (UTC)
Current status: queued queued analysing finished
Result: 15/ 43 (34.9%)
VT Community

not reviewed
Safety score: –
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.03.24.01 2011.03.24 Trojan/Win32.Tdss
AntiVir 7.11.5.53 2011.03.24 TR/Shutdown.aba
Antiy-AVL 2.0.3.7 2011.03.24 –
Avast 4.8.1351.0 2011.03.23 –
Avast5 5.0.677.0 2011.03.23 –
AVG 10.0.0.1190 2011.03.23 –
BitDefender 7.2 2011.03.24 Gen:Variant.Kazy.16706
CAT-QuickHeal 11.00 2011.03.24 –
ClamAV 0.96.4.0 2011.03.24 –
Commtouch 5.2.11.5 2011.03.24 –
Comodo 8085 2011.03.24 TrojWare.Win32.Olmarik.AOG
DrWeb 5.0.2.03300 2011.03.24 BackDoor.Tdss.based.7
Emsisoft 5.1.0.4 2011.03.24 –
eSafe 7.0.17.0 2011.03.22 –
eTrust-Vet 36.1.8232 2011.03.23 Win32/TDSS.G!generic
F-Prot 4.6.2.117 2011.03.23 –
F-Secure 9.0.16440.0 2011.03.23 –
Fortinet 4.2.254.0 2011.03.24 –
GData 21 2011.03.24 Gen:Variant.Kazy.16706
Ikarus T3.1.1.97.0 2011.03.24 –
Jiangmin 13.0.900 2011.03.24 –
K7AntiVirus 9.94.4194 2011.03.23 –
Kaspersky 7.0.0.125 2011.03.24 Trojan.Win32.TDSS.ccnu
McAfee 5.400.0.1158 2011.03.24 Generic Dropper.va.gen.q
McAfee-GW-Edition 2010.1C 2011.03.24 Generic Dropper.va.gen.q
Microsoft 1.6702 2011.03.24 –
NOD32 5980 2011.03.24 a variant of Win32/Kryptik.LXJ
Norman 6.07.03 2011.03.24 –
nProtect 2011-02-10.01 2011.02.15 –
Panda 10.0.3.5 2011.03.24 Trj/CI.A
PCTools 7.0.3.5 2011.03.24 Backdoor.Tidserv
Prevx 3.0 2011.03.24 –
Rising 23.50.01.11 2011.03.23 –
Sophos 4.64.0 2011.03.24 –
SUPERAntiSpyware 4.40.0.1006 2011.03.24 –
Symantec 20101.3.0.103 2011.03.24 Backdoor.Tidserv.M
TheHacker 6.7.0.1.156 2011.03.24 –
TrendMicro 9.200.0.1012 2011.03.24 –
TrendMicro-HouseCall 9.200.0.1012 2011.03.24 –
VBA32 3.12.14.3 2011.03.23 –
VIPRE 8801 2011.03.24 Trojan.Win32.Generic!BT
ViRobot 2011.3.24.4373 2011.03.24 –
VirusBuster 13.6.266.0 2011.03.23 –
Additional informationShow all
MD5   : bc628b89e13771cf6bc8eb131d7c5688
SHA1  : b8f2db0ebb8564cae37e00b9dc54b70c84a34dc7

File size : 129024 bytes

publisher….: Cadillac
copyright….: n/a
product……: Cadillac
description..: Cadillac
original name: Cadillac
internal name: Cadillac
file version.: 5,47,461,1983
comments…..: Cadillac

Estos ficheros son los temporales que generan los ejecutables que instalan en el MBR la infeccion del ALUREON, que si bien lo controlan ya 14 o 15 AV si no está en memoria, otra cosa es cuando está físicamente en el MBR y se ha arrancado desde el disco duro, instalandose en memoria, ya que tienes tecnicas Stealth que lo ocultan

El ELISTARA actual ya lo controla, y si el MBR tiene dichas técnicas, avisa de ello.

saludos

ms, 24-3-2011

NOTA: Recordar que el VBNA genera ALUREON -> Boaxxe-> Katusha -> Fake ALert Renos