NUEVO MAIL QUE ANEXA ENLACE MALICIOSO INSTALANDO FICHERO con un BANLOAD (DOWNLOADER DE BANKER)

Se está recibiendo por mail masivo uno que ofrece enlace de supuesto PDF que realmente instala este fichero VBS malware :

Doc.Ref.0037316280A9173B83-0C.vbs
Como se ve en el mail en cuestión, es original del Brasil e indica este texto:

MAIL MALICIOSO:
________________
Asunto: Temos uma mensagem para você! 23:12:32
De: “Prefeitura Municipal” <nfe@cirurgicajaw.com.br>
Fecha: 10/11/2015 02:12
Para: <destinatario>

Segue Anexo a Nota Fiscal Eletrônica de Serviços, emitida em NOVEMBRO/2015.

Este  arquivo deve ser armazenado.

NF-E- Emitida.PDF

7004361097000577215001000052842100874662-ProcNfe.PDF <— ENLACE MALICIOSO

Prezado Cliente(a)

Segue em anexo a cópia da NOTA FISCAL em PDF onde está a relação dos pedidos e demais detalhes do pagamento.
Informamos que o valor foi debitado com sucesso!
Qualquer dúvida em relação aos pedidos entrar em contato conosco que explicaremos!
Atenciosamente,
Rodrigo C. Ferronato
Setor Financeiro.

______________________
FIN DEL MAIL MALICIOSO

El preanalisis del fichero en cuestion ofrece el siguiente informe:
MD5 6011b020f4af217b725751515d016878
SHA1 0db2ca4d019572a87a0c95438ed45b142e8260b4
File size 4.5 KB ( 4568 bytes )
SHA256: d4ae5563827400a540d934f2763a087ec1ed670e3bc1d8efb2f7edfb5f392d5b
File name: Doc.Ref.0037316280A9173B83-0C.vbs
Detection ratio: 6 / 53
Analysis date: 2015-11-10 08:47:16 UTC ( 12 minutes ago )

0 1
Antivirus Result Update
AVG VBS/Downloader.Agent 20151110
DrWeb VBS.DownLoader.481 20151110
ESET-NOD32 VBS/Spy.Banker.K 20151110
Fortinet VBS/Agent.AXC!tr.dldr 20151110
Kaspersky Trojan-Downloader.VBS.Agent.axo 20151110
Rising VBS:Trojan.DL.Script.VBS.Agent.xjc!1326755 [F] 20151109

Como sea que McAfee aun no lo conoce (solo lo detectan actualmente 6 de 53 AV), pasamos a enviarselo para que lo analicen e incluyan su detección en la proxima version del VirusScan

A partir del ELISTARA 33.32 de hoy lo pasamos a controlar como Downloader BANKER

Dicha version del ELISTARA 33.32 que lo detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy

saludos

ms, 10-11-2015