NUEVA OLEADA DE RANSOMWARE LOCKY (16 EN TOTAL) QUE NOS HAN LLEGADO ESTE FIN DE SEMANA)

El ransomware Locky sigue siendo (y ahora, tras la desaparición del TESLACRYPT aun mas), el ransomware de moda actual.

Hemos recibido 16 nuevas variantes que pasamos a controlar a partir del ELISTARA 34.60 de hoy.

Todos ello tiene como icono un reloj analógico (ya indicado y mostrado en otras Noticias anteriores), y un tamaño similar (de poco mas de 150 KB)

El listado de hashes SHA1 de dichas muestras, es el siguiente:
“7625104F25CBC76185C8C6DF1F6897422C54E094” -> avq2hvnas.exe 155648
“46228781F6C7AEF36771B4A75E594B1A8D4AF98A” -> u32f9abf.exe 154112
“D1CE2CE9EA11A731443A693CEC2FFBBDB6A1251F” -> fdb3f34g33.exe 154112
“E3D3BD03B04B014178159F4DE171EA526236F32F” -> fng4htg5hh.exe 154112
“50486CEEA25E5C2279850F0811909D863F8DFAC7” -> h89ghb.exe 155648
“7CA9E2DE7DA4263F7F88537C73FE08B1D36206BF” -> nob89ygujvh.exe 155648
“A22180FF2E09B60490AAC98FF59EB4353227F542” -> Ff2gssgsg.exe 154112
“4277D02D2908E1D9A25ACFC8FEB604ECB224EC92” -> d65xbn.exe 155648
“CB8379996452425437676D80A0DFAADD86E588DE” -> o35yq.exe 154624
“5E955D36135B94ECF63E5884E5F666B449C8338B” -> tutaci.exe 154624
“95A3DB7B143031F6F072E5D7ADC401275ACF943F” -> b43g44gddrg.exe 154112
“B6B01B0348AF8C2C58A3012A4C98E07A4E032639” -> jhnlvqe.exe 154112
“E0058BF4B0122FA36687703F54B20135E9D9E532” -> e7xzxs0.exe 154624
“9BC43E36897C2965304F4C559EEAB4774F6FA467” -> 67h54545y.exe 154112
“4DC2FACB3D8319A164AA8169450C4396AEA3B6BB” -> vcb43g44.exe 154112
“9B736893542F71C2D1A2ECC82E95F8D912F36855” -> erg3g334g.exe 154112

El preanalisis de virustotal del último de dicha relación, pfrece el siguiente informe:
MD5 8da88a7bf5ee6fa68272b430cd5d8695
SHA1 9b736893542f71c2d1a2ecc82e95f8d912f36855
Tamaño del fichero 150.5 KB ( 154112 bytes )
SHA256: d8bd253d884107de20b785b6af43196e9e71f741d7136fdea02c23043ab6a236
Nombre: erg3g334g.exe
Detecciones: 41 / 57
Fecha de análisis: 2016-05-23 08:58:51 UTC ( hace 3 minutos )
0 3

Antivirus Resultado Actualización
ALYac Trojan.Ransom.LockyCrypt 20160523
AVG Generic_s.HQO 20160523
AVware Trojan.Win32.Generic.pak!cobra 20160523
Ad-Aware Trojan.Downloader.JSYB 20160523
AegisLab Troj.Ransom.W32!c 20160523
AhnLab-V3 Trojan/Win32.Locky 20160522
Antiy-AVL Trojan/Win32.TSGeneric 20160522
Arcabit Trojan.Downloader.JSYB 20160523
Avast Win32:Malware-gen 20160523
Avira (no cloud) TR/Locky.aipetb.4 20160523
BitDefender Trojan.Downloader.JSYB 20160523
Bkav HW32.Packed.884C 20160521
Comodo TrojWare.Win32.Kryptik.~EXUU 20160523
Cyren W32/Ransom.LVMH-5125 20160523
DrWeb Trojan.Encoder.4489 20160523
ESET-NOD32 a variant of Win32/Kryptik.EXUU 20160522
Emsisoft Trojan.Downloader.JSYB (B) 20160523
F-Secure Trojan.Downloader.JSYB 20160523
Fortinet W32/Kryptik.EXUU!tr 20160523
GData Trojan.Downloader.JSYB 20160523
Ikarus Trojan-Ransom.Locky 20160523
Jiangmin Trojan.Locky.xx 20160523
K7AntiVirus Trojan ( 004efd071 ) 20160523
K7GW Trojan ( 004efd071 ) 20160523
Kaspersky Trojan-Ransom.Win32.Locky.zi 20160523
Malwarebytes Ransom.Locky 20160523
McAfee RDN/Generic.grp 20160523
McAfee-GW-Edition BehavesLike.Win32.Expiro.ch 20160522
eScan Trojan.Downloader.JSYB 20160523
Microsoft Ransom:Win32/Locky 20160523
NANO-Antivirus Trojan.Win32.Encoder.ecngjn 20160523
Panda Trj/Genetic.gen 20160522
Qihoo-360 HEUR/QVM20.1.Malware.Gen 20160523
Rising Malware.XPACK-HIE/Heur!1.9C48-t6aeaQtkfJD (Cloud) 20160523
Sophos Troj/Ransom-DBU 20160523
Symantec Trojan.Gen.2 20160523
Tencent Win32.Trojan.Raas.Auto 20160523
TrendMicro Ransom_LOCKY.ED 20160523
TrendMicro-HouseCall Ransom_LOCKY.ED 20160523
VIPRE Trojan.Win32.Generic.pak!cobra 20160523
ViRobot Trojan.Win32.Z.Locky.154112.K[h] 20160523
Dicha versión del ELISTARA 34.60 que los detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy

Se recuerda que el Locky cambia el nombre de los ficheros cifrados y pone al final de la extension la palabra .LOCKY

Una vez cifrados los ficheros de datos, el virus desaparece del ordenador, no dejando tampoco claves de relanzamiento.
Como puede verse en el informe, tanto McAfee como Kaspersky ya lo controlan si bien en algun caso solo heuristicamente, por lo que recordamos la imporitancia de tener configurada la detección heuristica a nivel MUY ALTO.

Como siempre, mucho cuidado con los mails no solicitados, no ejecutar lols ficheros anexados !!!
saludos

ms, 23-5-2016