OTRO MAIL MALICIOSO EN CATALAN QUE ESTA LLEGANDO MASIVAMENTE

Si bien no es el primero que nos llega en dicho idioma, aun son pocos los que lo utilizan para enviar mails masivos maliciosos, llegando la mayoría en inglés, por ser sus autores usuarios de la lengua de Shakeaspeare…

El que recibimos ahora ofrece este texto:

MAIL MALICIOSO:
________________

Asunto: Fwd: factura-A1-0004557237.pdf
De: castell@arrakis.es (VARIABLE)
Fecha: 15/12/2015 10:55
Para: <DESTINATARIO>

Adjunta a aquest correu, els hi fem arribar la nostra factura
Salutacions cordials
ANEXA: factura-A1-0005811416_.pdf.zip
______________________

FIN DEL MAIL MALICIOSO

El fichero contenido dentro del ZIP resulta ser este:

factura-A1-0005893746_.pdf.exe

que aparenta doble extension, si bien la primera o PDF, es parte del nombre del fichero, tanto en el ZIP como en el que contiene.

El preanalisis de virustotal ofrece el siguiente informe:

MD5 7c549c8e6c3c8ad6de3d809ccc2ec026
SHA1 4580134f3344911dbfb5146b34ffae3c17654a78
File size 235.8 KB ( 241427 bytes )
SHA256: f35a2afab795ef560eb243a7435f2b31787067cf96f37e28eba072951f51b788
File name: factura-A1-0005893746_.pdf.exe
Detection ratio: 3 / 53
Analysis date: 2015-12-15 10:32:34 UTC ( 2 minutes ago )
0 1
Antivirus Result Update
Kaspersky UDS:DangerousObject.Multi.Generic 20151215
McAfee-GW-Edition BehavesLike.Win32.BrowseFox.dc 20151215
Qihoo-360 HEUR/QVM10.1.Malware.Gen 20151215

A partir del proximo ELISTARA 33.55 que estará disponible en nuestra web a partir de las 18 h CEST de hoy, pasaremos a detectar y eliminar esta nueva variante de malware.

saludos

ms, 15-12-2015

COMENTARIO: En la monitorizacion de dicho fichero vemos que se trata de un Rootkit Spy.Shiotob, por lo que para su detección y eliminación es necesario ARRANCAR EN MODO SEGURO y lanzar el ELISTARA 33.55