MAIL MUY ESCUETO PERO CON FICHERO ZIP ANEXADO CONTENIENDO DOWNLOADER DE UN ZEPTO

Recibidos varios mails aparentando ser de WhatsApp de voz anexando empaquetados con TROJAN BAYROB, como el del que ya informabamos recientemente, centramos hoy la atención en este otro de menos texto todavía, que contiene un downloader tipo Nemucod que descarga un ZEPTO
MAIL MALICIOSO:
_______________
Asunto: Invoice INV0000816439
De: “Rolando reddy” <Rolando1@brizec.ru>
Fecha: 22/09/2016 12:10
Para: destinatario

Please find our invoice attached.

ANEXADO    FICHERO ZIP (conteniendo malware)
________________

FIN MAIL MALICIOSO

El fichero .js contenido en el ZIP es un downloader cuyo preanalisis en viristotal ofrece el siguiente informe:
MD5 7478464ddcd5b8e3def549d96718aa59
SHA1 61d6961704f9a6e7dfebc058348b4652b8b88094
File size 23.2 KB ( 23779 bytes )
SHA256:  d219636875a8422cbbcf7103b43656a4b34ce1874561c6a4af1a1d323fd190d7
Detection ratio:  27 / 55
Analysis date:  2016-09-23 06:20:13 UTC
0
1

Antivirus  Result  Update
AVG  JS/Downloader.Agent.55_9  20160923
Ad-Aware  Trojan.JS.Agent.NYD  20160923
Antiy-AVL  Trojan/Generic.ASVCS3S.3F7  20160923
Arcabit  Trojan.JS.Agent.NYD  20160923
Avira (no cloud)  JS/Dldr.Krypt.922161  20160922
Baidu  JS.Trojan-Downloader.Nemucod.kx  20160922
BitDefender  Trojan.JS.Agent.NYD  20160923
Cyren  JS/Nemucod.CA  20160923
DrWeb  JS.DownLoader.2262  20160923
ESET-NOD32  JS/TrojanDownloader.Nemucod.BAD  20160923
Emsisoft  Trojan.JS.Agent.NYD (B)  20160923
F-Prot  JS/Nemucod.CA  20160923
F-Secure  Trojan.JS.Agent.NYD  20160923
Fortinet  JS/Nemucod.BAD!tr.dldr  20160923
GData  Trojan.JS.Agent.NYD  20160923
Ikarus  Win32.SuspectCrc  20160922
Kaspersky  HEUR:Trojan-Downloader.Script.Generic  20160923
McAfee  JS/Nemucod.jg  20160923
eScan  Trojan.JS.Agent.NYD  20160923
Microsoft  TrojanDownloader:JS/Nemucod.GW  20160923
NANO-Antivirus  Trojan.Script.Heuristic-js.iacgm  20160922
Qihoo-360  trojan.js.downloader.1  20160923
Rising  Downloader.Generic!8.141-jsrPbz3vxIB (cloud)  20160923
Symantec  JS.Downloader  20160923
TrendMicro  JS_LOCKY.DLDSAPD  20160923
TrendMicro-HouseCall  JS_LOCKY.DLDSAPD  20160923
ViRobot  JS.Downloader.23816[h]  20160923
Dicha versión del ELISTARA 35.27 que los detecta y elimina, ya está disponible en nuestra web

saludos

ms, 23-9-2016