Recibidas nuevas muestras del ROOTKIT DORKBOT ya controlado

Como sea que el DORKBOT se oculta de mala manera si está en memoria, hay que arrancar en MODO SEGURO COMO ADMINISTRADOR o como cualquier usuario no infectado, o de otra forma no puede detectarse mas que por sus efectos, de ocultar carpetas de los pendrives y crear en su lugar accesos directos a ellas cargando el malware, se reciben muestras de variantes ya controladas que los usuarios infectados no logran detectar o eliminar.

Esta misma recibida hoy, es una ya controlada desde ELISTARA 24.08 :

File name: 5fec1255007e53e33ab2ff972283a763f25a6bf0.bin
Submission date: 2011-10-20 02:59:46 (UTC)
Current status: finished
Result: 29 /43 (67.4%)
VT Community

malware
Safety score: 0.0%
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.10.19.00 2011.10.19 Trojan/Win32.Scar
AntiVir 7.11.16.72 2011.10.19 TR/Spy.Wimp.B
Antiy-AVL 2.0.3.7 2011.10.20 Trojan/win32.agent.gen
Avast 6.0.1289.0 2011.10.19 Win32:Malware-gen
AVG 10.0.0.1190 2011.10.19 VBCrypt.DTV
BitDefender 7.2 2011.10.20 Trojan.Inject.ACN
ByteHero 1.0.0.1 2011.09.23 –
CAT-QuickHeal None 2011.10.19 –
ClamAV 0.97.0.0 2011.10.19 –
Commtouch 5.3.2.6 2011.10.20 –
Comodo 10500 2011.10.20 –
DrWeb 5.0.2.03300 2011.10.20 Worm.Siggen.5315
Emsisoft 5.1.0.11 2011.10.20 Trojan-Dropper.Win32.VB!IK
eSafe 7.0.17.0 2011.10.17 –
eTrust-Vet 36.1.8628 2011.10.19 –
F-Prot 4.6.5.141 2011.10.20 –
F-Secure 9.0.16440.0 2011.10.20 Trojan.Inject.ACN
Fortinet 4.3.370.0 2011.10.20 W32/Refroso.AGEA!tr
GData 22 2011.10.20 Trojan.Inject.ACN
Ikarus T3.1.1.107.0 2011.10.20 Trojan-Dropper.Win32.VB
Jiangmin 13.0.900 2011.10.19 Worm/VB.gay
K7AntiVirus 9.115.5313 2011.10.19 EmailWorm
Kaspersky 9.0.0.837 2011.10.20 Worm.Win32.VB.dbj
McAfee 5.400.0.1158 2011.10.20 Generic VB.zzp
McAfee-GW-Edition 2010.1D 2011.10.19 Generic.bfr!cz
Microsoft 1.7801 2011.10.19 Worm:Win32/Dorkbot
NOD32 6558 2011.10.20 Win32/Dorkbot.B
Norman 6.07.13 2011.10.19 W32/Suspicious_Gen2.dam
nProtect 2011-10-19.02 2011.10.19 Backdoor/W32.IRCBot.167936.AJ
Panda 10.0.3.5 2011.10.19 –
PCTools 8.0.0.5 2011.10.20 Trojan.Gen
Prevx 3.0 2011.10.20 –
Rising 23.80.02.03 2011.10.19 –
Sophos 4.70.0 2011.10.20 Mal/Generic-L
SUPERAntiSpyware 4.40.0.1006 2011.10.20 –
Symantec 20111.2.0.82 2011.10.20 Trojan.Gen
TheHacker 6.7.0.1.327 2011.10.19 Trojan/Injector.jef
TrendMicro 9.500.0.1008 2011.10.19 TROJ_SPNR.02JH11
TrendMicro-HouseCall 9.500.0.1008 2011.10.20 TROJ_SPNR.02JH11
VBA32 3.12.16.4 2011.10.19 –
VIPRE 10814 2011.10.20 Trojan.Win32.Generic!BT
ViRobot 2011.10.19.4727 2011.10.19 Worm.Win32.Agent.167936.C
VirusBuster 14.1.20.0 2011.10.19 –
Additional informationShow all
MD5   : 66ae972d7d29dca73c1e953c19bd7525
SHA1  : 5fec1255007e53e33ab2ff972283a763f25a6bf0
File size : 167936 bytes
publisher….: Terrestres_
copyright….: n/a
product……: DOCEAVODOVIDR
description..: n/a
original name: DOCEAVODO VIDR.scr
internal name: DOCEAVODO ENCE_
file version.: 3007.02.0093

Si se aprecia desaparición de carpetas en los pendrives, y en su lugar la existencia de accesos directos a ellas, probablemente se tiene el rootkit en memoria y debe procederse conforme indicado.

Al ser habitual y diaria la aparición de variantes de esta familia, hemoa creido oportuno publicar esta noticia, aunque sea de una muestra ya controlada por el ELISTARA.

saludos

ms, 24-10-2011