NUEVA VARIANTE DE CRYPTOLOCKER RECIBIDO EN EL FALSO MAIL DE ENDESA, QUE DESCARGA EL EXE A TRAVES DE UN JS

Otra variante del dichoso Cryptolocker que se recibe en falsos mails de ENDESA, descarga un ZIP que contiene un JS que instala un EXE con el ransomware en cuestion, el cual cifra los ficheros de datos y envia mails a todas las direcciones de la libreta de direcciones del ordenador afectado
Tanto el JS descargador como el EXE descargado, los pasamos a controlar a partir del ELISTARA 34.72 de hoy

El icono que presenta el EXE es de una U inscrita en un circulo verde.
Los preanalisis de virustotal de ambos ficheros ofrecen los siguientes informes:

el JS descargador :

MD5 cd3e5f5f0ef102f8fd8de1b2fe47d661
SHA1 80c6e378399de3a24006e09d047b77fd5b6ae311
Tamaño del fichero 4.7 KB ( 4814 bytes )
SHA256: 074087e17818ffb4a2825309cc942d868b16863556b8963fcfa90bf94154a984
Nombre: ENDESA_FACTURA(06).js
Detecciones: 4 / 57
Fecha de análisis: 2016-06-08 09:06:54 UTC ( hace 1 minuto )
0 1

Antivirus Resultado Actualización
Arcabit HEUR.JS.Trojan.ba 20160608
ESET-NOD32 JS/TrojanDownloader.Nemucod.ADK 20160608
Fortinet JS/Nemucod.ADK!tr 20160608
Sophos Troj/JSDldr-ND 20160608

y el EXE final :
MD5 a3cb609f78689151af1ab9402cd453cf
SHA1 74b9b57d5ca8cd9aae24ca5f095955d579bf8c55
Tamaño del fichero 645.0 KB ( 660480 bytes )

SHA256: fde2a8682d8617e9358b8b0894a0153df49fb017dee296aebe9bc618b876c939
Nombre: uregaped.exe
Detecciones: 6 / 57
Fecha de análisis: 2016-06-08 09:09:42 UTC ( hace 2 minutos )
0 1
Antivirus Resultado Actualización
AVware Trojan.Win32.Reveton.a (v) 20160608
Antiy-AVL Trojan/Win32.SGeneric 20160608
Baidu Win32.Trojan.WisdomEyes.151026.9950.9999 20160608
Kaspersky UDS:DangerousObject.Multi.Generic 20160608
Qihoo-360 HEUR/QVM20.1.Malware.Gen 20160608
VIPRE Trojan.Win32.Reveton.a (v) 20160608

Como puede verse aun es muy novedoso, controladolos solo 4 y 6 AV respectivamente, de los 57 de VirusTotal, por lo que pasamos a enviar muestra a McAfee que vemos que aun no lo conoce, para que añada su control en la proxima version del VirusScan.

Dicha versión del ELISTARA 34.72 QUE LOS DETECTA Y ELIMINA, ESTARÁ DISPONIBLE EN NUESTRA WEB A PARTIR DE LAS 18 H CEST de hoy.

saludos

ms, 8-6-2016