Nuevas variantes de FAKE TOOL SYSTEM CHECK (dropper y Scanner) que ocultan el contenido del disco duro

Nuevas muestras de esta conocida familia de FAKE TOOL SYSTEM CHECK, que ocultan el contenido del disco duro, pasamos a controlarlas a partir del ELISTARA 24.83 de hoy

Si bien el ELISTARA ya aparca a estos malwares y pide muestra para analizar, la restauraicon de atributos solo se hace a partir controlar especificamente a dichos malwares, para no afectar a ficheros que el usuario haya ocultado voluntariamente. A partir de la siguiente version a la del envio de muestras, ya se restauraran dichos atributos, además de eliminar el malware.

Si solo lo ha detectada heuristicamente y pide muestras para analizar, una vez reiniciado el ordenador, sin que el FAKE ALERT haya sido lanzado (está aparcado en C:\muestras), se pueden restaurar los atributos manualmente desde una ventana al DOS (o arrancando en MODO SEGURO CON SOLO SIMBOLO DE SISTEMA), lanzando la siguiente instrucción:

ATTRIB  C:\*.*  -h  /s  /d
El preanalisis del virustotal sobre el dropper y el scanner ofrece los siguientes inmformes:
DROPPER

SHA256: 4eb94a7106fd11485f02d807b7eaf779ac1fd47b3b7909647a48ebfa57c7ef68
SHA1: 458e9c3a11b240662653dd9ac8ea680fd3561bda
MD5: 3a1fe5dd3998231b8c1506fc96ec22f4
Tamaño: 436.0 KB ( 446464 bytes )
Nombre: QGuaayvrII.exe.vir
Tipo: Win32 EXE
Detecciones: 18 / 43
Fecha de análisis: 2012-02-08 11:23:13 UTC ( hace 1 minuto )

02
Antivirus Resultado Actualización
AhnLab-V3 Trojan/Win32.FakeAV 20120207
AntiVir TR/FakeSysdef.A.181 20120208
Antiy-AVL – 20120203
Avast – 20120207
AVG – 20120208
BitDefender Gen:Variant.Kazy.55037 20120208
ByteHero – 20120207
CAT-QuickHeal – 20120208
ClamAV – 20120208
Commtouch – 20120208
Comodo – 20120208
DrWeb Trojan.Fakealert.27220 20120208
Emsisoft Rogue.Win32.SystemCheck!A2 20120208
eSafe – 20120207
eTrust-Vet – 20120207
F-Prot – 20120201
F-Secure Gen:Variant.Kazy.55037 20120208
Fortinet W32/FakeAlert.IY!tr 20120208
GData Gen:Variant.Kazy.55037 20120208
Ikarus – 20120208
Jiangmin – 20120207
K7AntiVirus – 20120207
Kaspersky Trojan.Win32.FakeAV.kuvm 20120208
McAfee Generic FakeAlert!wb 20120208
McAfee-GW-Edition Artemis!3A1FE5DD3998 20120208
Microsoft Trojan:Win32/FakeSysdef 20120208
NOD32 a variant of Win32/Kryptik.AAEW 20120208
Norman – 20120207
nProtect – 20120208
Panda Trj/CI.A 20120207
PCTools – 20120207
Prevx – 20120208
Rising – 20120208
Sophos Mal/FakeAV-OP 20120208
SUPERAntiSpyware – 20120206
Symantec Trojan.FakeAV 20120208
TheHacker – 20120208
TrendMicro – 20120208
TrendMicro-HouseCall TROJ_FAKEAV.FSE 20120208
VBA32 – 20120207
VIPRE Trojan.Win32.Generic!BT 20120208
ViRobot – 20120208
VirusBuster – 20120207

_______

SCANNER
SHA256: 7c71897b3fee2683afb83719bad5359a397eb67c1ab96add05fa1034e6724700
SHA1: bc6fc474c0003ecfce043d9575d5371d71561b0a
MD5: 22358a30ad2818427811a92b4fb8a8b6
Tamaño: 351.0 KB ( 359424 bytes )
Nombre: 62ETnb2llNNguD.exe.vir
Tipo: Win32 EXE
Detecciones: 17 / 42
Fecha de análisis: 2012-02-08 11:25:37 UTC ( hace 0 minutos )

01
Antivirus Resultado Actualización
AhnLab-V3 – 20120207
AntiVir TR/FakeSysdef.A.162 20120208
Antiy-AVL – 20120207
Avast – 20120207
AVG – 20120208
BitDefender Trojan.Generic.KDV.528082 20120208
ByteHero – 20120207
CAT-QuickHeal – 20120208
ClamAV – 20120208
Commtouch – 20120208
Comodo TrojWare.Win32.Trojan.Agent.Gen 20120208
DrWeb Trojan.Fakealert.27220 20120208
Emsisoft Trojan.Win32.Agent.AMN!A2 20120208
eSafe – 20120207
eTrust-Vet – 20120207
F-Prot – 20120201
F-Secure Trojan.Generic.KDV.528082 20120208
Fortinet W32/FakeAlert.IY!tr 20120208
GData Trojan.Generic.KDV.528082 20120208
Ikarus – 20120208
Jiangmin – 20120207
K7AntiVirus – 20120207
Kaspersky Trojan.Win32.FakeAV.kusc 20120208
McAfee Artemis!22358A30AD28 20120208
McAfee-GW-Edition Artemis!22358A30AD28 20120208
Microsoft Trojan:Win32/FakeSysdef 20120208
NOD32 a variant of Win32/Kryptik.AAEW 20120208
Norman – 20120207
nProtect – 20120208
Panda – 20120207
Prevx – 20120208
Rising – 20120208
Sophos Mal/FakeAV-OP 20120208
SUPERAntiSpyware – 20120206
Symantec Trojan.FakeAV 20120208
TheHacker – 20120208
TrendMicro – 20120208
TrendMicro-HouseCall TROJ_FAKEAV.FSE 20120208
VBA32 – 20120207
VIPRE Trojan.Win32.Generic!BT 20120208
ViRobot – 20120208
VirusBuster – 20120207
Dichas version del ELISTARA 24.83 estará disponbible en nuestra web a partir de las 19 h CEST de hoy

saludos

ms, 8-2-2012