NUEVA FAMILIA DE DOWNLOADER DEL MALWARE PHP QUE PASAMOS A CONTROLAR

Un link que un nuevo downloader crea en el Inicio, instala un PHP que instala varios ficheros e incluso un .CRT en carpeta temporal, es eliminado, tanto el link como el EXE downloader, a partir del ELISTARA 35.65 de hoy

Nos ha aparecido en la carpeta donde monitorizabamos un CERBER, por lo que pensamos que se trata de un parasito que se instala sin mas, consecuencia de otro malware paralelo…

Visto que se actualiza frecuentemente y que crea variedad de carpetas y ficheros, al detectarlo procedemos a eliminar el link correspondiente en el Inicio, evitando con ello que se vuelva a lanzar en el siguiente reinicio, aunque queden ficheros y carpetas desconocidas que no se usen, con lo cual evitar su persistencia.

El preanalisis de virustotal ofrece el siguiente informe:

MD5 ee2124b6d33790152d39543881c02e43
SHA1 7c73f38e969922c9408424cb303b063bbb05c2b1
File size 228.0 KB ( 233460 bytes )
SHA256:  f96c33646ab7c704f7dc23dc4510713b150da821f71d9a35817dc68b86b0754e
File name:  bb.exe
Detection ratio:  6 / 56
Analysis date:  2016-11-18 10:02:38 UTC ( 8 minutes ago )
0
1

Antivirus  Result  Update
Avira (no cloud)  TR/AD.NsisInject.gdrqt  20161118
CrowdStrike Falcon (ML)  malicious_confidence_60% (W)  20161024
Ikarus  Trojan-Spy.Win32.Zbot  20161118
Invincea  trojanclicker.win32.clikug.g  20161018
Kaspersky  UDS:DangerousObject.Multi.Generic  20161118
Qihoo-360  HEUR/QVM42.0.0000.Malware.Gen  20161118

Dicha versión del ELISTARA 35.65 que lo detecta y elimina, estará disponible en nuestra web a partir del 19-11-2016

saludos

ms, 18-11-2016