Mas variantes del FAKE AV LIVE SECURITY PLATINUM DESCARGADO POR EL KULUOZ

Nueva muestra de este FAKE AV que es descargado por el KULUOZ, visible con el SPROCES

Pasamos a controlarlo a partir del ELISTARA 25.98 de hoy

El preanalisis de VirusTotal ofrece este informe:

SHA256: 0b19a7bd1e4b23941e287b2d1e26622aeeb35083f09f7e50cbc8fac675bd644e
SHA1: a3a9f6d4cfd68ade69a878601ca36c32ce7b1795
MD5: 6c12fd61e81a359dca6afaa300c572e5
Tamaño: 396.0 KB ( 405504 bytes )
Nombre: 036DFF8587FE5C48F2AA7C087B07D287.EXE.Muestra EliStartPage v25.97
Tipo: Win32 EXE
Detecciones: 23 / 41
Fecha de análisis: 2012-07-25 11:15:22 UTC ( hace 0 minutos )
Antivirus Resultado Actualización
AhnLab-V3 Trojan/Win32.FakeAV 20120725
AntiVir TR/Winwebsec.A.996 20120725
Antiy-AVL – 20120725
Avast Win32:FakeAV-DRN [Trj] 20120725
AVG Dropper.Generic6.ANXR 20120725
BitDefender Trojan.Generic.KD.679582 20120725
ByteHero – 20120723
CAT-QuickHeal – 20120724
ClamAV – 20120725
Commtouch – 20120725
Comodo UnclassifiedMalware 20120725
DrWeb Trojan.Fakealert.32747 20120725
Emsisoft – 20120725
eSafe – 20120724
ESET-NOD32 a variant of Win32/Kryptik.AIWQ 20120725
F-Prot – 20120724
F-Secure Trojan.Generic.KD.679582 20120725
Fortinet – 20120725
GData Trojan.Generic.KD.679582 20120725
Ikarus Trojan.Win32.FakeAV 20120725
Jiangmin – 20120725
K7AntiVirus Trojan 20120724
Kaspersky Trojan-FakeAV.Win32.LiveSecurity.g 20120725
McAfee FakeAlert-SecurityTool.ev 20120725
McAfee-GW-Edition Artemis!6C12FD61E81A 20120725
Microsoft Rogue:Win32/Winwebsec 20120725
Norman W32/FakeAV.BFFV 20120725
nProtect Trojan.Generic.KD.679582 20120725
Panda Trj/CI.A 20120725
Rising – 20120725
Sophos Mal/FakeAV-KL 20120725
SUPERAntiSpyware – 20120725
Symantec – 20120725
TheHacker – 20120724
TotalDefense – 20120724
TrendMicro – 20120725
TrendMicro-HouseCall TROJ_GEN.F47V0724 20120725
VBA32 – 20120725
VIPRE Trojan.Win32.Kryptik.aiuc (v) 20120725
ViRobot Trojan.Win32.A.LiveSecurity.405504 20120725
VirusBuster – 20120724
y en el analisis del SPROCES del equipo infectado donde se repetía diariamente la infección, se ve el lanzamiento del KULUOZ, cambiando de valor de clave, de nombre de fichero y de codigo del mismo, por lo que hemos de “cazarlo” investigando el log del SPROCES:

O4 – HKCU\..\Run: [uuuehwmp] “C:\Documents and Settings\PC000-0178\Configuración local\Datos de programa\rpwohfgs.exe”

O4 – HKCU\..\Run: [ikgnphnw] “C:\Documents and Settings\PC000-0178\Configuración local\Datos de programa\mooqjlba.exe”

ficheros que ya hemos pedido al usuario de dicho ordenador para su control y eliminacion en proximo ELISTARA.

La version del ELISTARA que detecta y elimina a este FAKE AV, estará disponible en nuestra web a partir de las 15 h CEST de hoy

saludos

ms, 25-7-2012