NUEVA FAMILIA DE BACKDOOR KIRTS QUE QUEDA RESIDENTE E INFECTA PENDRIVES

Otro malbicho que vuelve a las andadas de infectar pendrives , oculta sus ficheros con atributos S, H, R y crea un lnk que ejecuta un AUTORUN.INF que lanza un MANAGER.JS y un BAT que ejecuta Un fichero MANAGER.EXE, todos ellos con atributos segun se indica:

X:\ %NombreVol%.lnk   (apunta a “Manager.js”)
X:\ autorun.inf       (apunta a “Manager.js”)     (+s+h+r)
X:\ Manager.js        (ejecuta al BAT)            (+s+h+r)
X:\ DeviceManager.bat (ejecuta al EXE)            (+s+h+r)
X:\ _\ DeviceManager\ Manager.exe                 (+s+h+r)

Ayer ya recibimos varios de esta familia y hoy seguimos recibiendo, todos los cuales pasaremos a controlar a partir del ELISTARA 34.85 de hoy
El preanalisis de virustotal de uno de los 5 recibidos ayer, ofrece este informe:

MD5 edaf8ce53d4919c52e422c7ce7242738
SHA1 dd81a7b57ba6d972263196a50b2a4421374474cd
Tamaño del fichero 273.5 KB ( 280104 bytes )

VirusTotal
SHA256:  abe712d28d9a9fe3823c8fd87d905d58d4e6140742493767a8e027d6a02f943a
Nombre:  edaf8ce53d4919c52e422c7ce7242738
Detecciones:  21 / 54
Fecha de análisis:  2016-06-28 02:20:23 UTC ( hace 6 horas, 18 minutos )
0
3
Antivirus  Resultado  Actualización
AVG  Generic37.CDFI  20160628
AVware  Trojan.Win32.Generic!BT  20160627
Avira (no cloud)  TR/Dropper.MSIL.rppf  20160628
Baidu  MSIL.Trojan.Kryptik.l  20160627
DrWeb  Win32.HLLW.Phorpiex.191  20160628
ESET-NOD32  Win32/Phorpiex.C  20160628
Emsisoft  Worm.Win32.Phorpiex (A)  20160628
GData  Win32.Worm.Phorpiex.HBXMIV  20160628
Ikarus  Worm.Win32.Phorpiex  20160627
Kaspersky  Trojan.Win32.IRCbot.ajxr  20160627
Malwarebytes  Backdoor.Bot  20160627
McAfee  Artemis!EDAF8CE53D49  20160628
McAfee-GW-Edition  Artemis!Trojan  20160627
Microsoft  Backdoor:Win32/Kirts.A  20160628
Panda  Generic Suspicious  20160627
Qihoo-360  HEUR/QVM03.0.0000.Malware.Gen  20160628
Sophos  Mal/Generic-S  20160627
Symantec  Infostealer.Limitail  20160628
Tencent  Win32.Trojan.Ircbot.Anzr  20160628
VIPRE  Trojan.Win32.Generic!BT  20160628
nProtect  Trojan/W32.IRCbot.280104  20160627

Dicha versión del ELISTARA 34.85 que los detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy

saludos

ms, 28-6-2016