NUEVA VARIANTE DE DOWNLOADER NEMUCOD QUE PASAMOS A CONTROLAR CON ELISTARA

Otro mail masivo co fichero anexado, presenta estas características:

MAIL MASIVO MALICIOSO:
______________________

Asunto: Agri Basics invoice #57754670 and 57754671
De: =?UTF-8?B?Q2VsZXN0ZSBFbGxpb3R0?= <ElliottCeleste55794@quraninthelightoftajveed.com>
Fecha: 15/12/2015 01:30
Para: =?UTF-8?B?dmlydXM=?= <destinatario>

Please find attached invoice #57754670.

Have a nice day
Celeste Elliott
Accounts Receivable
320 Golden Shore, Suite 350
Long Beach, CA 90802
ANEXADO : invoice_57754670_scan.zip

______________________
FIN DEL MAIL MASIVO
El ZIP en cuestión descarga un JS con este nombre:

invoice_copy_yZHjTS.js
Es de suponer que la monitorización de dicho fichero anexado nos descargará una nueva variante de RANSOMWARE TESLACRYPT, de lo cual informaremos cuando pasemos a analizar sea lo que sea lo descargado.
El preanalisis de virustotal ofrece el siguiente informe:
MD5 71aec2fb3ccd74e7a3a6e3fb0b82e39b
SHA1 f779f6555e66c114a0dcd7dc8f985b8a11d31e36
File size 48.2 KB ( 49336 bytes )

SHA256: e46351173b2f68efbfb2884cec0bef732d6553d57e5f71bbfbe052e5c0878ee5
File name: invoice_copy_yZHjTS.js
Detection ratio: 16 / 54
Analysis date: 2015-12-15 08:32:15 UTC ( 0 minutes ago )

0 1
Antivirus Result Update
AVG JS/Downloader.Agent 20151215
Ad-Aware JS:Trojan.JS.Downloader.BA 20151215
AhnLab-V3 JS/Downloader 20151214
Arcabit JS:Trojan.JS.Downloader.BA 20151215
Avira JS/Dldr.Rogue.aiolns 20151215
BitDefender JS:Trojan.JS.Downloader.BA 20151215
Cyren JS/Downldr.DC.gen 20151215
ESET-NOD32 JS/Kryptik.AYO 20151215
Emsisoft Trojan-Downloader.JS.Nemucod (A) 20151215
F-Prot JS/Downldr.DC.gen 20151215
Fortinet JS/Agent.66A5!tr 20151215
GData JS:Trojan.JS.Downloader.BA 20151215
Ikarus Win32.Outbreak 20151215
McAfee JS/Nemucod.aj 20151215
MicroWorld-eScan JS:Trojan.JS.Downloader.BA 20151215
NANO-Antivirus Trojan.Script.Kryptik.dzcqji 20151215
Como sea que kaspersky aun no lo conoce, pasamos a enviarselo para que lo añadan a la nueva version de dicho antivirus. McAFee ya lo controla actualmente como NEMUCOD.

Dicha versión que lo detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy
saludos

ms, 15-12-2015