NUEVA VARIANTE DE BANLOAD (DONWLOADER DE SPYBANKER) recibida en mail masivo

Anexado a un mail maliicIoso se recibe un fichero que descarga un cazapasswords bancario (BANLOAD -> SPYBANKER)

El mail en cuestion viene a ser de este tipo:

MAIL MALICIOSO:
______________
Asunto: Orcamento Total. n – 6475798
De: <presunto remitente, posiblemente falseado con spoofing)
Fecha: 29/04/2015 02:54
Para: <destinatario>

Prezado Cliente:

Segue em anexo orçamento

Att.
ANEXADO : ORCAMENTO.ZIP  <— fichero malicioso
________________

FIN DEL MAIL MALICIOSO

Avisamos que ORCAMENTO en portugués equivale a PRESUPUESTO en castellano.

Esta nueva variante la pasamos a controlar a partir del ELISTARA 32.19 de hoy

El preanalisis de virustotal ofrece el siguiente informe:

MD5 d7da1ae6a632e0c1305e242171d1a187
SHA1 b4677b5a3bcfe9bd2e66dd0159d9990e92169529
File size 194.0 KB ( 198656 bytes )
SHA256: c15ea2baaed61c450f55b4aeb12a3827ae64720fc074e4f621d99b0a77f7fa9b
File name: Orçarmento.cpl
Detection ratio: 14 / 56
Analysis date: 2015-04-29 08:21:51 UTC ( 2 minutes ago )

0 1
Antivirus Result Update
AhnLab-V3 Trojan/Win32.Banload 20150429
Baidu-International Trojan.Win32.Banker.ABLT 20150426
Cyren W32/A-927b5698!Eldorado 20150429
ESET-NOD32 a variant of Win32/Spy.Banker.ABLT 20150429
F-Prot W32/A-927b5698!Eldorado 20150429
Fortinet W32/Banker.ABLT!tr.spy 20150429
Kaspersky UDS:DangerousObject.Multi.Generic 20150429
McAfee Trojan-FFFJ!D7DA1AE6A632 20150429
McAfee-GW-Edition BehavesLike.Win32.Worm.cc 20150428
Microsoft Trojan:Win32/Tombrep.B 20150429
Panda Trj/Genetic.gen 20150428
Qihoo-360 HEUR/QVM25.0.Malware.Gen 20150429
Sophos Mal/Drewit-A 20150429
TrendMicro TROJ_GEN.R0E9C0DDT15 20150429

Dicha version del ELISTARA 32.19 que lo detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy

Se avisa que dicho Banload nos ha descargado nuevas variantes del SPYBANKER en sucesivas ocasiones, que pasamos a controlar, si bien pueden existir otras desconocidas, por lo que conviene prestar atención a estos mails que llegan en portugués anexando fichero ORCAMENTO.ZIP, y no ejecutar su contenido !!!

saludos

ms, 29-4-2015