Nueva variante de rootkit DORKBOT cazada por la heuristica del ELISTARA

Otra muestra pedida por el ELISTARA pasa a ser controlada especificamente a partir del ELISTARA 26.60 de hoy

Dicho virus afecta a los pendrives, ocultando las carpetas que tuvieran y creando en su lugar un link con el mismo nombre de las carpetas, ejecutando el malware

El preanalisis de virustotal ofrece el siguiente informe:

SHA256: 31244caac0a7134e045d135fd48a47bd7ca281568757a95147b0517629f89bab
SHA1: 1422c0f891f17d53b37e23a5a78be86100ac902e
MD5: 92233c207334168facdd6ca2532c6348
Tamaño: 258.0 KB ( 264232 bytes )
Nombre: BTMIMJ.EXE.Muestra EliStartPage v26.59
Tipo: Win32 EXE
Detecciones: 25 / 43
Fecha de análisis: 2012-11-22 09:19:57 UTC ( hace 0 minutos )

Antivirus Resultado Actualización
Agnitum – 20121121
AhnLab-V3 Trojan/Win32.Jorik 20121122
AntiVir TR/Zusy.27272 20121121
Antiy-AVL – 20121121
Avast Win32:Malware-gen 20121122
AVG Generic30.AHUW 20121121
BitDefender Gen:Variant.Zusy.27272 20121122
ByteHero Virus.Win32.Heur.p 20121116
CAT-QuickHeal – 20121122
ClamAV – 20121122
Commtouch – 20121122
Comodo UnclassifiedMalware 20121122
DrWeb Win32.HLLW.Autoruner1.30072 20121122
Emsisoft – 20121121
eSafe – 20121121
ESET-NOD32 Win32/Dorkbot.B 20121121
F-Prot – 20121122
F-Secure Gen:Variant.Zusy.27272 20121122
Fortinet W32/Injector.XLQ!tr 20121122
GData Gen:Variant.Zusy.27272 20121122
Ikarus Win32.VBCrypt 20121122
Jiangmin – 20121122
K7AntiVirus – 20121121
Kaspersky Trojan.Win32.Jorik.Nrgbot.efq 20121122
Kingsoft Win32.Troj.Jorik.lb.(kcloud) 20121119
McAfee Generic.grp!le 20121122
McAfee-GW-Edition Artemis!92233C207334 20121122
Microsoft Worm:Win32/Dorkbot.A 20121122
MicroWorld-eScan Gen:Variant.Zusy.27272 20121122
Norman – 20121121
nProtect Trojan/W32.Agent.264232 20121122
Panda Suspicious file 20121121
Rising – 20121122
Sophos – 20121122
SUPERAntiSpyware Trojan.Agent/Gen-Winjector 20121122
Symantec WS.Reputation.1 20121122
TheHacker – 20121121
TotalDefense – 20121121
TrendMicro – 20121122
TrendMicro-HouseCall TROJ_GEN.RC1H1KK 20121122
VBA32 – 20121122
VIPRE Trojan.Win32.Generic!BT 20121122
ViRobot – 20121122
Dicha version del ELISTARA 26.60 que lo detecta y elimina,e stará disponible en nuestra web a partir de las 19 h CEST de hoy

Cabe indicar que en este caso la infeccion se produce por la ejecucion del usuario del link del pendrive, pensando que es la carpeta que en él había, lo cual se considera ingenieria social, y no automaticamente como en la inmensa mayoria de los virus de pendrive, que instalan un AUTORUN.INF, cuya ejecucion puede evitarse con el ELIPEN (Este no es el caso, ya que no crea AUTORUN.INF)

saludos

ms, 22-11-2012