Siguen llegando muestras del mismo FAKE WRITE, pero aparentando distinta procedencia

Otra vez la misma variante del FAKE WRITE, pero esta vez llegando como Vodafone_Account_Balance.pdf.exe

que igual que las anteriores muestras sigue controlandose con el actual ELISTARA disponible en nuestra web

Recordamos lo ya indicado de otras “procedencias” de la misma variante, de la que se habian recibido muestras entradas como:

Booking_Hotel_Confirmation,exe

Google_Accounts_Alert.exe

de lo que informábamos en https://blog.satinfo.es/?p=31185

Cada vez es controlado por mas antivirus, actualmente con 32  detecciones entre los 42 AV.

El actual preanalisis de virustotal ofrece este informe:

SHA256: 7a7c62566d3b8fc704c6d7cfaba12631636160b3476083cfedeb1cc0d867851d

SHA1: e294d1f70d203bcffed5658b1b2d17ca853e3481
MD5: 894c9023d7e9848a4340c3eece08ac3c
Tamaño: 57.0 KB ( 58368 bytes )
Nombre: MSOYMEHV.COM.Muestra EliStartPage v26.06
Tipo: Win32 EXE
Detecciones: 32 / 42
Fecha de análisis: 2012-09-06 08:42:31 UTC ( hace 0 minutos )

015Más detalles
Antivirus Resultado Actualización
AhnLab-V3 Spyware/Win32.Zbot 20120905
AntiVir Worm/Gamarue.I.5 20120906
Antiy-AVL – 20120906
Avast Win32:Dropper-gen [Drp] 20120906
AVG BackDoor.Generic15.BZRP 20120906
BitDefender Trojan.Generic.KDV.717711 20120906
ByteHero – 20120830
CAT-QuickHeal – 20120906
ClamAV – 20120906
Commtouch W32/Trojan3.DZT 20120906
Comodo TrojWare.Win32.Kryptik.ALDT 20120906
DrWeb BackDoor.Andromeda.22 20120906
Emsisoft Trojan-Dropper.Win32.Injector!IK 20120906
eSafe – 20120904
ESET-NOD32 Win32/TrojanDownloader.Wauchos.A 20120906
F-Prot W32/Trojan3.DZT 20120906
F-Secure Trojan:W32/Agent.DUFA 20120906
Fortinet W32/Androm.DW!tr 20120830
GData Trojan.Generic.KDV.717711 20120906
Ikarus Trojan-Dropper.Win32.Injector 20120906
Jiangmin Backdoor/Androm.fb 20120906
K7AntiVirus Backdoor 20120905
Kaspersky Backdoor.Win32.Androm.hl 20120905
McAfee Generic BackDoor.u 20120906
McAfee-GW-Edition Generic BackDoor.u 20120905
Microsoft Worm:Win32/Gamarue.I 20120906
Norman W32/Troj_Generic.DVFDQ 20120905
nProtect Trojan/W32.Agent.58368.WY 20120906
Panda Trj/Gamania.CB 20120905
PCTools Backdoor.Trojan 20120905
Rising – 20120906
Sophos W32/Gamarue-Z 20120906
SUPERAntiSpyware – 20120905
Symantec Backdoor.Trojan 20120906
TheHacker – 20120906
TotalDefense Win32/Gamarue.AW 20120905
TrendMicro WORM_GAMARUE.CN 20120906
TrendMicro-HouseCall WORM_GAMARUE.CN 20120906
VBA32 – 20120905
VIPRE Trojan.Win32.Generic.pak!cobra 20120906
ViRobot Backdoor.Win32.A.Androm.58368.A 20120906
VirusBuster – 20120905

Por último cabe recordar que este FAKE WRITE es downloader, y que algunas de las variantes actuales del SPY ZBOT, han sido descargadas por él:

Descubierto el origen actual de los SPY ZBOT que causan doble acento : Son descargados por el FAKEWRITE

Mucho cuidado con estos e-mails que practican la ingeniería social ! Recordar que no deben ejecutarse ficheros anexados a mails no solicitados, ni pulsar el links ni imagenes de los mismos.

saludos

ms, 6-9-2012