Nueva variante de VBNA descargado por el downloader TEPFER

Ayer nos llegó una nueva variante del downloader TEPFER, el cual vimos que descargaba CUTWAIL , SPY ZBOT y posiblemente VBNA, con los que este último pudiera descargar

Hoy del mismo cliente recibimos muestras de VBNA, posiblemente descargadas por dicho TEPFER, las cuales pasamos a controlar a partir del ELIVBNA 3.20 de hoy

Recordamos que el ELIVBNA descarga virus tan especiales como el SIREFEF, y que oculta carpetas de otras unidades, aplicandoles atributos H y S, y ejecutando el codigo malicioso cuando el usuario quiere acceder a dichas carpetas a traves del enlace cvreado por el mismo.

El preanalisis de virustotal sobre esta muestra del VBNA, ofrece este informe:

SHA256: b8f5ee89c32f4d7f8dd748c0a2f853556f174476530c7029b5d9214769edf8ae
SHA1: 83342009d3294961be04b599bf471886d687b9e0
MD5: 5adae1fac831ed0fcf3fd31ad3564a1c
Tamaño: 344.0 KB ( 352256 bytes )
Nombre: xjqaoy.vir
Tipo: Win32 EXE
Detecciones: 19 / 46
Fecha de análisis: 2012-12-14 09:35:11 UTC ( hace 0 minutos )
Antivirus Resultado Actualización
Agnitum – 20121213
AhnLab-V3 – 20121213
AntiVir – 20121214
Antiy-AVL – 20121214
Avast – 20121214
AVG VBCrypt.FDH 20121214
BitDefender Gen:Variant.Symmi.7854 20121214
ByteHero – 20121213
CAT-QuickHeal – 20121214
ClamAV – 20121214
Commtouch – 20121214
Comodo – 20121214
DrWeb Trojan.Siggen4.44046 20121214
Emsisoft – 20121214
eSafe – 20121212
ESET-NOD32 Win32/Pronny.JF 20121214
F-Prot – 20121214
F-Secure Gen:Variant.Symmi.7854 20121214
Fortinet – 20121214
GData Gen:Variant.Symmi.7854 20121214
Ikarus – 20121214
Jiangmin – 20121214
K7AntiVirus – 20121213
Kaspersky HEUR:Trojan.Win32.Generic 20121214
Kingsoft Win32.Troj.Undef.(kcloud) 20121210
Malwarebytes – 20121214
McAfee W32/Autorun.Worm.aaeh 20121214
McAfee-GW-Edition – 20121214
Microsoft Worm:Win32/Vobfus.NC 20121214
MicroWorld-eScan Gen:Variant.Symmi.7854 20121214
NANO-Antivirus – 20121214
Norman – 20121214
nProtect – 20121214
Panda – 20121213
PCTools Malware.Changeup 20121214
Rising – 20121214
Sophos Troj/VBNA-W 20121214
SUPERAntiSpyware Trojan.Agent/Gen-Vobfus 20121214
Symantec W32.Changeup 20121214
TheHacker – 20121211
TotalDefense – 20121213
TrendMicro WORM_VOBFUS.SMIS 20121214
TrendMicro-HouseCall HS_VOBFUS 20121214
VBA32 – 20121213
VIPRE LooksLike.Win32.Beebone.gen.3 (v) 20121214
ViRobot Worm.Win32.Vobfus.352256.C 20121214
Dicha version del ELIVBNA 3.20 que lo detecta y elimina, estará disponible en nuestra web a partir de las 15 h CEST de hoy
Para esta variante el ELIVBNA restaura los atributos de las carpetas ocultadas si ya la conoce especificamente, sino, pide muestra y una vez aparcado y reiniciado el quipo para que no esté el virus en memoria, se puede abrir una ventana al DOS y ejecutar en este caso:

ATTRIB X:\*.* -H -S /S /D

Si se piede envio de muestra, y se pasa a controlar, al ejecutar la siguiemte version que ya lo controle y detectar la muestra infectada, no solo la eliminará sino que además restaurará los atributos en las carpetas afectadas.

saludos

ms, 14-12-2012
saludos

ms, 14-12-2012