NUEVA VARIANTE DE JS.CRISAS, INFECTA PENDRIVES Y OCULTA SU CONTENIDO

Otra variante de esta familia, esta vez de Perú, de la que diariamente nos llegan nuevas muestras apenas detectadas por los actuales AV, pasa a ser controlada a partir del ELISTARA 30.75 de hoy

El preanalisis de virustotal ofrece este informe:

MD5 b28cca4ea3820fb8b96095252a7db52a
SHA1 55b1b0b6a25f2740d6c3c3713bedee2536c99f3d
Tamaño del fichero 42.2 KB ( 43206 bytes )
SHA256: e5f82b077782eafd02441341cffdb163eee8b7e980aa76e2bec30f51bf3879f8
Nombre: qiykjbpe.js
Detecciones: 3 / 55
Fecha de análisis: 2014-10-08 07:29:01 UTC ( hace 1 minuto )

0 1

Antivirus Resultado Actualización
Sophos JS/Bondat-C 20141008
TrendMicro JS_BONDAT.B 20141008
TrendMicro-HouseCall JS_BONDAT.B 20141008
Dicha version del ELISTARA 30.75 que lo detecta y elimina, estará disponible en nuestra web a partir de las 19 h CEST de hoy

Cabe indicar que el contenido inicial del pendrive es  escondido en carpeta oculta de nombre .TRASHES, incluyendo otra carpeta en la que guarda el fichero malware, de nombre variable en cada infeccion.

Para restaurar la normalidad a los pendrives deben eliminarse los links dirigidos a dicho fichero, el cual debe tambien ser eliminado, y quitar el atributo de H a dichos ficheros y copiarlos al Root de dicho pendrive.

En este caso ya han sido subidas al virustotal varias muestras de esta variante con los siguientes nombres:

qiykjbpe.js
xogqgwvr.js
vti-rescan
file-7549064_js
nbnfq.js
nrxmy.js
mywoo.js
vhpipk.js

Ya se ve que los ficheros van teniendo nombres variables y en el ordenador se copian en carpetas de nombre variable dentro de la carpeta del usuatio, lo cual lo hace un poco mas complejo, si bien genera copias del WSCRIPT.EXE con nombres logicos de ficheros del sistema, que utiliza para lanzar el .JS, pero ello le delata.

Esta familia se transmite a través de pendrive copiandose a unidades extraibles y carpetas compartidas.

Nos está llegando especialmente de Sudamerica, Argentina, Peru y Colombia , por lo cual, si el foco está allí, y su propagación es por pendrive, es comprensible que su expansión geográfica sea lenta.

saludos

ms, 8-10-2014