NUEVA VARIANTE DE JSBONDAT EN APARENTE FICHERO JPG (QUE NO LO ES)

Ya son varias las muestras que nos han llegado con similar apariencia de JPG si bien son .RAR que pasan desapercibidos si tienen solo dicha extension JPG, tal como nos he llegado, aunque se supone que el original tiene doble extensión, .JPG.RAR

Se trata de una variante del JSCRISAS, que detectamos inicialmente en Colombia, luego en Peru y finalmente en Cuba

Como las demás variantes, lanza una busqueda en Google y se propaga via pendrive

Ya dijimos en la variante anterior que al final de su código va añadiendo nombre del usuario que lo ha ejecutado y sistema operativo, y en este caso añade ademas el nombre del antivirus usado:

en este caso empezó con este:

<LAPTOP-HP:Microsoft Windows XP=igor:Kaspersky Anti-Virus>

y finaliza con este :

<CUADRO:Windows 7 Ultimate=Marlenis:Kaspersky Endpoint Security 8 para Windows>**/

Lo pasaremos a controlar a partir del ELISTARA 32.99 de hoy

El preanalisis de virustotal ofrece el siguiente informe:

MD5 f28a62ee53485708747429169b8849ac
SHA1 732ca435b79b6f4cc5d03591268fefbebbedefae
File size 5.5 KB ( 5638 bytes )
SHA256: 1b4bf8fcf8cd35e8b2a27a767ba1a31b4321bc0c279c304b30fcb10cb8ef6385
File name: _NuevanormativadeTrfico.jpg. .RAR
Detection ratio: 7 / 57
Analysis date: 2015-09-22 07:37:25 UTC ( 6 minutes ago )

0 1
Antivirus Result Update
AVG VBS/StartPage 20150922
DrWeb SCRIPT.Virus 20150922
ESET-NOD32 JS/Kryptik.AVA 20150922
Ikarus Trojan.JS.Crypt 20150922
Kaspersky HEUR:Worm.Script.Generic 20150922
NANO-Antivirus Trojan.Script.StartPage.gcle 20150922
Sophos JS/Bondat-Y 20150922

Como sea que McAfee aun no lo detecta, ya les hemos enviado muestra para que añadan su detección y control en proxima version del VIRUSSCAN

Dicha versión del ELISTARA 32.99 que lo detecta y elimina, estará disponible en nuestra web a partir de las 19 h CEST de hoy

saludos

ms, 22-9-2015