NUEVA VARIANTE DE RANSOMWARE CRYPTOLOCKER AUN POCO CONTROLADO

Otra variante del Cryptolocker que segun nos ha indicado el usuario, ha llegado vía falso mail de Correos, con fichero :

carta_certificada_139651.scr

que pasaremos a controlarlo a partir del ELISTARA 32.84 del 1-9-2015

Como sea que el VirusScan aun no lo detecta, ya lo hemos enviado a McAfee para que añadan su control y eliminación en la proxima version del VirusScan

El preanalisis de virustotal ofrece el siguiente informe:

MD5 6ba5dff75085f87a3e56becdabafbaad
SHA1 18f129dbbd4710b3a97613eb45beb3d8a1114d5a
File size 456.8 KB ( 467721 bytes )
SHA256: 3e8027cff9c198e2c3721efc666a3ff16edb05b7baf07eaebf99c06b5e504ba9
File name: otebyxex.exe
Detection ratio: 15 / 56
Analysis date: 2015-08-04 13:03:51 UTC ( 5 minutes ago )

0 1
Antivirus Result Update
Ad-Aware Gen:Variant.Symmi.54766 20150804
Arcabit Trojan.Symmi.DD5EE 20150804
Avira TR/Crypt.ZPACK.59219 20150804
BitDefender Gen:Variant.Symmi.54766 20150804
Bkav HW32.Packed.1622 20150804
DrWeb Tool.Siggen.10967 20150804
ESET-NOD32 Win32/Filecoder.DI 20150804
Emsisoft Gen:Variant.Symmi.54766 (B) 20150804
F-Secure Gen:Variant.Symmi.54766 20150804
GData Gen:Variant.Symmi.54766 20150804
Kaspersky Trojan-Ransom.Win32.Snocry.xm 20150804
Malwarebytes Trojan.Inject 20150804
MicroWorld-eScan Gen:Variant.Symmi.54766 20150804
Qihoo-360 HEUR/QVM07.1.Malware.Gen 20150804
Sophos Mal/Generic-S 20150804
Dicho fichero malware se ha instalado en C:\windows con extensio .EXE pero icono de PDF, (para despistar a los usuarios)

Como pùede verse, Kaspersky ya lo detecta actualmente, y confiamos que McAfee lo haga en breve, gracias a la muestra que les hemos enviado.

De momento, al usuario afectado se le ha eliminado la infección a la vista del informe del SPROCES, procediendo a eliminar el fichero malicioso, que en este caso ha sido

C:\WINDOWS\otebyxex.exe

y eliminado, con el SPROCES, tambien la clave de lanzamiento del mismo:

O4 – HKLM\..\Run: [ymsqobub] “C:\WINDOWS\otebyxex.exe

Y, tras reiniciar, ya se ha podido conectar el ordenador infectado a la Red y proceder a restaurar los ficheros codificados desde la copia de seguridad.

Mucho cuidado con el falso Mail de Correos, con el que el Cryptolocker está atacando de nuevo con nuevas variantes !

saludos

ms, 4-8-2015