NUEVA VARIANTE DE TROJAN COMROKI que se auotoenvia por correo o por descarga de un downloader como el SOUNDER

Otra variante de este malware que se recibe por correo y crea tres ficheros malwares a los que llama en sendas claves O4-RUN del registro de sistema, pasa a ser controlado a partir del ELISTARA 31.69 de hoy

Dos de los ficheros que crea son los tipicos de otros Comnroki, un CSRSS.EXE y un SVCHOST.EXE que crea en la carpeta de datos de programa del usuario y un RUNDLL32.EXE que crea en la carpeta de sistema, sustituyendo al del mismo nombre que tiene el sistema en dicha carpeta, por lo que, si es conocido como malware, procedemos a eliminarlo y a que windows lo restaure por el correcto.

El preanalisis de virustotal ofrece el siguiente informe:

MD5 6cff505357e15ec84fcc74bd5861aba3
SHA1 7405820298f0f3eb2188d162a739e7482d9debe8
Tamaño del fichero 69.6 KB ( 71273 bytes )
SHA256: 7aaeb0db73c250c36dd8bd5eeb49a6c8d55799a32c069a8747fee192e3073127
Nombre: order_report_328749238742983742938749238.exe
Detecciones: 35 / 56
Fecha de análisis: 2015-02-18 09:51:20 UTC ( hace 0 minutos )

0 15

Antivirus Resultado Actualización
ALYac Trojan.GenericKD.2168589 20150218
AVG Downloader.VB.AHKR 20150218
AVware Win32.Malware!Drop 20150218
Ad-Aware Trojan.GenericKD.2168831 20150218
AhnLab-V3 Trojan/Win32.MDA 20150218
Avira TR/Dropper.VB.19700 20150218
Baidu-International Trojan.Win32.VBKrypt.sbds 20150218
BitDefender Trojan.GenericKD.2168831 20150218
ByteHero Virus.Win32.Heur.p 20150218
Cyren W32/Trojan.RDRC-6796 20150218
DrWeb BackDoor.Siggen.58526 20150218
ESET-NOD32 Win32/Agent.QKJ 20150218
Emsisoft Trojan.GenericKD.2168831 (B) 20150218
F-Prot W32/Trojan5.LNH 20150218
F-Secure Trojan.GenericKD.2168831 20150218
Fortinet W32/VBKrypt.SBDS!tr 20150218
GData Trojan.GenericKD.2168831 20150218
Ikarus Trojan.VBInject 20150218
K7AntiVirus Trojan ( 0013236a1 ) 20150218
K7GW Trojan ( 0013236a1 ) 20150218
Kaspersky Trojan.Win32.VBKrypt.sbds 20150218
Malwarebytes Trojan.Crypt.NKN 20150218
McAfee Artemis!6CFF505357E1 20150218
McAfee-GW-Edition BehavesLike.Win32.PWSZbot.km 20150218
MicroWorld-eScan Trojan.GenericKD.2168831 20150218
Microsoft TrojanDownloader:Win32/Recslurp.B 20150218
Panda Trj/Inject.LS 20150218
Qihoo-360 HEUR/QVM03.0.Malware.Gen 20150218
SUPERAntiSpyware Trojan.Agent/Gen-Falcomp 20150218
Sophos Troj/VB-ICO 20150218
Symantec Trojan.Smoaler 20150218
Tencent Win32.Trojan.Inject.Auto 20150218
TrendMicro TROJ_FORUCON.BME 20150218
VIPRE Win32.Malware!Drop 20150218
ViRobot Trojan.Win32.U.Agent.71273[h] 20150218

Dicha version del ELISTARA 31.69 que lo detecta y elimina, estará disponible en nuestra web a partir de las 19 h CEST de hoy

Cabe señalar que windows avisa al usuario cuando se va a sustituir un fichero de sistema, por lo que el usuario afectado, ademas de ejecutar el fichero troyano, ha sido avisado de que se iban a hacer cambios importantes en el sistema…

Proximas variantes del RUNDLL32 malware podran ser controladas a partir de recibir muestras de sus compadres, CSRRS y SVCHOST malwares creados por dichas nuevas variantes y que, en su monitorizacion, crearan nuevos RUNDL32 malwares que se pasaran a controlar en siguiente versiones del ELISTARA.

saludos

ms, 18-2-2015