IMPORTANTE DESCUBRIMIENTO QUE AFECTA A LOS USUARIOS QUE HAN TENIDO (O TIENEN) EL PROXY EXI

A raiz del analisis indicado en https://blog.satinfo.es/?p=23870 , hemos descubierto que muchos de los ordenadores que han tenido el PROXY EXI, tienen el BACKDOOR SIMDA, muy oculto por la actuacion de un temporal (que se elimina sin dificultad con el ELISTARA si el usuario acepta eliminar temporales) y de un fichero de nombre variable para cada ordenador, del tipo c_726519.nls, de los que todos tenemos varios conteniendo los códigos de lenguaje, sin que en este caso tenga nada que ver, solo la apariencia por el nombre del fichero. Dichos ficheros están ubicados en la carpeta de sistema, normalmente, en los sistemas actuales, en C:\windows\system32\

Ya habíamos visto que el BACKDOOR SIMDA está ubicado en el fichero ACPI.SYS, de igual nombre que el driver de windows, que está en C:\windows\system32\drivers , pero cuando está activo el NLS en cuestion, al querer ver dicho ACPY.SYS lo que muestra es el del original del sistema, ocultando el BACKDOOR SIMDA que contiene.

Solo arrancando con otro medio, como un LIVE CD. BAR PE o colocando el disco duro como esclavo, se descubrirá dicho backdoor en el ACPI.SYS y podrá eliminarse.

Avisamos de ello para que quienes han tenido infección con dicho PROXY EXI, aunque ya lo hayan eliminado, revisen el ordenador en cuestión, ante la posibilidad de aun tener un BACKDOOR SIMDA residente, si bien para ello habrán de arrancar con otro medio y lanzar bien el ELISTARA actual, que detectará y eliminará el ACPI.SYS si está infectado, tras lo que debe comprobarse que windows lo reponga del DLLCACHE (es el driver de control de energía), y si no lo ha hecho, mejor copiarlo de otro sistema igual, en la carpeta de drivers, especialmente si se trata de un portátil.

Como colofón cabe indicar que el PROXY EXI y consecuenctemente este BACKDOOR SIMDA es descargado por los mismos servidores maliciosos que descargan el SIREFEF, por lo que pudiera estar hecho por el mismo grupo de hackers. No se ha visto en los SIREFEF sin el PROXY EXI, dicho BACKDOOR SIMDA, pero si en los que hemos detectado los dos, pero lo atribuimos a que ha sido por el PROXY EXI, aunque no se puede ratificar, claro.

El ACPI.SYS ya está muy controlado, pero escondido por el NLS, por lo que aunque muchos AV lo controlan, no siempre estos lo detectarán en condiciones normales:

El preanalisis del ACPI.SYS infectado con BACKDOOR SIMDA, subido al virustotal,  ofrece este informe:

Nombre Fichero : ACPI.SYS

saludos

ms, 13-1-2012