Otro Rootkit DORKBOT cazado por la heuristica del ELISTARA

Siguen llegando a diario nuevos DORKBOT detectados por la heuristica del ELISTARA, y pasados a controlar especificamente una vez analizadas las muestras que se piden al respecto. En esta ocasión se controla a partir del ELUSTARA de hoy, 23.84

Los AV no lo detectan si está en memoria, e incluso muy pocos (10 de 44) detectan a este actualmente, aunque no esté en memoris, como se ve en el preanalisis del VirusTotal:
File name:
JYJCJL.EXE.Muestra EliStartPage v23.83
Submission date:
2011-09-09 08:56:30 (UTC)
Current status:
finished
Result:
10/ 44 (22.7%)

VT Community

not reviewed
Safety score: –
Compact
Print results
Antivirus  Version  Last Update  Result
AhnLab-V3 2011.09.09.00 2011.09.09 Trojan/Win32.VBKrypt
AntiVir 7.11.14.153 2011.09.09 –
Antiy-AVL 2.0.3.7 2011.09.09 –
Avast 4.8.1351.0 2011.09.08 –
Avast5 5.0.677.0 2011.09.08 –
AVG 10.0.0.1190 2011.09.09 –
BitDefender 7.2 2011.09.09 Gen:Variant.Kazy.36968
ByteHero 1.0.0.1 2011.09.03 Trojan.Win32.Heur.Gen
CAT-QuickHeal 11.00 2011.09.09 –
ClamAV 0.97.0.0 2011.09.09 –
Commtouch 5.3.2.6 2011.09.09 –
Comodo 10043 2011.09.08 –
DrWeb 5.0.2.03300 2011.09.09 BackDoor.IRC.ngrBot.42
Emsisoft 5.1.0.11 2011.09.09 –
eSafe 7.0.17.0 2011.09.07 –
eTrust-Vet 36.1.8548 2011.09.09 –
F-Prot 4.6.2.117 2011.09.09 –
F-Secure 9.0.16440.0 2011.09.09 Gen:Variant.Kazy.36968
Fortinet 4.3.370.0 2011.09.09 W32/Ruskill.AGR!tr
GData 22 2011.09.09 Gen:Variant.Kazy.36968
Ikarus T3.1.1.107.0 2011.09.09 –
Jiangmin 13.0.900 2011.09.08 –
K7AntiVirus 9.112.5108 2011.09.08 –
Kaspersky 9.0.0.837 2011.09.09 –
McAfee 5.400.0.1158 2011.09.09 –
McAfee-GW-Edition 2010.1D 2011.09.08 –
Microsoft 1.7604 2011.09.09 –
NOD32 6448 2011.09.09 –
Norman 6.07.11 2011.09.08 –
nProtect 2011-09-09.01 2011.09.09 Trojan/W32.Agent.155648.ACD
Panda 10.0.3.5 2011.09.08 Suspicious file
PCTools 8.0.0.5 2011.09.09 –
Prevx 3.0 2011.09.09 –
Rising 23.74.03.03 2011.09.09 –
Sophos 4.69.0 2011.09.09 –
SUPERAntiSpyware 4.40.0.1006 2011.09.09 –
Symantec 20111.2.0.82 2011.09.09 –
TheHacker 6.7.0.1.291 2011.09.08 –
TrendMicro 9.500.0.1008 2011.09.06 –
TrendMicro-HouseCall 9.500.0.1008 2011.09.09 WORM_DORKBOT.SMO
VBA32 3.12.16.4 2011.09.08 –
VIPRE 10417 2011.09.09 –
ViRobot 2011.9.9.4665 2011.09.09 –
VirusBuster 14.0.204.1 2011.09.08 –
Additional information
MD5   : e70c998312ad30fdef66a07528529321
SHA1  : 0652d09df3d2e72a6536672f8943be6fde42b990

File size : 155648 bytes
publisher….: Electro
copyright….: n/a
product……: PELOPELPELOPELPELOPELBANAN
description..: n/a
original name: PELOPELPELOPELBAN.exe
internal name: PELOPELPELOPELBAN
file version.: 12.989.0054

Dicha version 23.84 del ELISTARA de hoy que lo detecta y elimina, estará disponible en nuestra web a partir de las 15 h CEST de hoy
Se recuerda que este malware oculta las carpetas de los pendrives y crea links a ellas cargando dicho malware, y que conviene arrancar en MODO SEGURO y lanzar el ELISTARA sobre el disco duro y sobre el pendrive, logrando recuperar la normalidad de este, si no se ha manipulado dicho pendrive con algun otro AV.

saludos

ms, 9-9-2011