Variante de RORPIAN o W32/Autorun.worm.aabl

Otra variante de este fastidioso y complejo malware que utiliza extension .FON para sus componentes y que utiliza exploit CPL LNK en la infección a pendrives, aparte de propagarse por comparticiones en las redes. Con la actual version de ELISTARA 22.95 ya controlamos este malware, si bien se regenera facilmente si no se toman todas las medidas oportunas.

File name: setup50039.vir
Submission date: 2011-04-01 08:39:16 (UTC)
Result: 22/ 43 (51.2%)
VT Community

malware
Safety score: 0.0%
Compact Print results Antivirus Version Last Update Result
AhnLab-V3 2011.04.01.01 2011.04.01 Trojan/Win32.TDSS
AntiVir 7.11.5.155 2011.04.01 TR/Inject.R
Antiy-AVL 2.0.3.7 2011.03.31 –
Avast 4.8.1351.0 2011.03.31 Win32:Malware-gen
Avast5 5.0.677.0 2011.04.01 Win32:Malware-gen
AVG 10.0.0.1190 2011.03.31 Generic21.BRMQ
BitDefender 7.2 2011.04.01 –
CAT-QuickHeal 11.00 2011.04.01 Trojan.Tdss.cdnb
ClamAV 0.97.0.0 2011.04.01 –
Commtouch 5.2.11.5 2011.03.24 –
Comodo 8181 2011.04.01 –
DrWeb 5.0.2.03300 2011.04.01 Trojan.DownLoader2.25548
Emsisoft 5.1.0.5 2011.04.01 Trojan.Win32.Tdss!IK
eSafe 7.0.17.0 2011.04.01 –
eTrust-Vet 36.1.8247 2011.04.01 –
F-Prot 4.6.2.117 2011.04.01 –
F-Secure 9.0.16440.0 2011.03.23 –
Fortinet 4.2.254.0 2011.04.01 –
GData 22 2011.04.01 Win32:Malware-gen
Ikarus T3.1.1.103.0 2011.04.01 Trojan.Win32.Tdss
Jiangmin 13.0.900 2011.03.31 –
K7AntiVirus 9.96.4269 2011.04.01 –
Kaspersky 7.0.0.125 2011.04.01 Trojan.Win32.TDSS.cdnb
McAfee 5.400.0.1158 2011.04.01 W32/Autorun.worm.aabl
McAfee-GW-Edition 2010.1C 2011.03.31 W32/Autorun.worm.aabl
Microsoft 1.6702 2011.04.01 Trojan:Win32/Meredrop
NOD32 6004 2011.04.01 a variant of Win32/Kryptik.MCQ
Norman 6.07.03 2011.04.01 –
nProtect 2011-02-10.01 2011.02.15 –
Panda 10.0.3.5 2011.03.31 W32/Vobfus.GEP
PCTools 7.0.3.5 2011.03.30 –
Prevx 3.0 2011.04.01 –
Rising 23.51.03.06 2011.03.31 Trojan.Win32.Generic.12833167
Sophos 4.64.0 2011.04.01 –
SUPERAntiSpyware 4.40.0.1006 2011.04.01 –
Symantec 20101.3.2.89 2011.04.01 Trojan.Zbot
TheHacker 6.7.0.1.164 2011.04.01 –
TrendMicro 9.200.0.1012 2011.04.01 WORM_AUTORUN.SM6
TrendMicro-HouseCall 9.200.0.1012 2011.04.01 WORM_AUTORUN.SM6
VBA32 3.12.14.3 2011.03.31 –
VIPRE 8884 2011.04.01 Trojan.Win32.Generic!BT
ViRobot 2011.4.1.4387 2011.04.01 –
VirusBuster 13.6.280.0 2011.03.31 Trojan.TDSS!kTIc4sqHSJI
Additional informationShow all
MD5   : fcfda6e176faf0fe1ae066e065870127
SHA1  : 811c40625e83bbbc34c553a3973a5daa21d8c725
File size : 65032 bytes

Como ya hemos indicado en otras noticias al respecto, para esta familia aconsejamos revisar/instalar todos los parches de windows, aislar los ordenadores para su limpieza y solo una vez limpiados todos, volverlos a conectar a la red.

Y cuidado con los pendrives, que utilizan ficheros con icono de carpeta y del tipo CPL LNK, que sin parches autoejecutan dichos ficheros aun sin AUTORUN.INF (como el STUXNET)

Por último, conviene usar un antivirus que controle la propagacion vía unidades de Red, y comprobar que esté activo dicho control, además de ser uno de los que lo detecte, claro  (22 de 43)

saludos

ms, 1-4-2011