NUEVO MALWARE TOTALMENTE DESCONTROLADO ACTUALMENTE, CAZADO GRACIAS A LA HEURISTICA DEL ELISTARA

Pasado a controlar con el actual ELISTARA 22.80, esta variante de FAKE ALERT RENOS.JZ nos ha sido remitida desde la comunidad valenciana, y al parecer es un engendro descargado por el KATUSHA, el cual fue creado por una variante del RootKit  ALUREON desde el MBR, que había sido implementado en dicho sector reservado, por el worm VBNA…

El caso es que nadie lo controla pero resulta ser un servicio lanzado desde la carpeta de sistema, al igual que otros anteriores que sí que detectaban algunos antivirus.

Otros nombres Fraupack y Fake alert AQT, ademas del indicado FAKE ALERT RENOS JZ.

Es la variante 56 que recibimos de esta familia, aunque la primera desconocida por todos !

Ya se ha enviado muestra a McAfee para su control, por lo que en proximos DAT se espera que ya lo controlen.

Aunque sea para mostrar 0 detecciones, este es el preanalisis de Virus Total:

File name: SSHNAS21.DLL.Muestra EliStartPage v22.79
Submission date: 2011-03-15 09:10:03 (UTC)
Result: 0/ 43 (0.0%)
VT Community

not reviewed
Safety score: –
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.03.15.02 2011.03.15 –
AntiVir 7.11.4.204 2011.03.15 –
Antiy-AVL 2.0.3.7 2011.03.15 –
Avast 4.8.1351.0 2011.03.14 –
Avast5 5.0.677.0 2011.03.14 –
AVG 10.0.0.1190 2011.03.14 –
BitDefender 7.2 2011.03.15 –
CAT-QuickHeal 11.00 2011.03.15 –
ClamAV 0.96.4.0 2011.03.14 –
Commtouch 5.2.11.5 2011.03.15 –
Comodo 7987 2011.03.15 –
DrWeb 5.0.2.03300 2011.03.15 –
Emsisoft 5.1.0.2 2011.03.15 –
eSafe 7.0.17.0 2011.03.14 –
eTrust-Vet 36.1.8216 2011.03.15 –
F-Prot 4.6.2.117 2011.03.15 –
F-Secure 9.0.16440.0 2011.03.14 –
Fortinet 4.2.254.0 2011.03.15 –
GData 21 2011.03.15 –
Ikarus T3.1.1.97.0 2011.03.15 –
Jiangmin 13.0.900 2011.03.15 –
K7AntiVirus 9.93.4109 2011.03.15 –
Kaspersky 7.0.0.125 2011.03.15 –
McAfee 5.400.0.1158 2011.03.15 –
McAfee-GW-Edition 2010.1C 2011.03.15 –
Microsoft 1.6603 2011.03.15 –
NOD32 5953 2011.03.14 –
Norman 6.07.03 2011.03.15 –
nProtect 2011-02-10.01 2011.02.15 –
Panda 10.0.3.5 2011.03.14 –
PCTools 7.0.3.5 2011.03.11 –
Prevx 3.0 2011.03.15 –
Rising 23.49.01.03 2011.03.15 –
Sophos 4.63.0 2011.03.15 –
SUPERAntiSpyware 4.40.0.1006 2011.03.15 –
Symantec 20101.3.0.103 2011.03.15 –
TheHacker 6.7.0.1.150 2011.03.15 –
TrendMicro 9.200.0.1012 2011.03.15 –
TrendMicro-HouseCall 9.200.0.1012 2011.03.15 –
VBA32 3.12.14.3 2011.03.15 –
VIPRE 8708 2011.03.15 –
ViRobot 2011.3.15.4357 2011.03.15 –
VirusBuster 13.6.249.3 2011.03.14 –
Additional informationShow all
MD5   : 0e586d0beff9ec11bdd2142ad8ae811a
SHA1  : 927e4dc35c8a1b0577803709b0a3655248790b89

File size : 178688 bytes
Recomendamos a quienes lo hayan sufrido que vean si detectan algo no solo con el actual ELISTARA , sino ademas con el ELIVBNA y revisen el MBR o si tienen una particion standar, lancen el FIXMBR desde la consola de recuperaicon, arrancando con el CD de instalacion.

Estamos teniendo ultimamente una racha de ALUREON en MBR y de VBNA, asi que es probable que prolifere este FAKE AV RENOS JZ, especialmente mientras no sea controlado como es el caso.

saludos

ms, 15-3-2011