NUEVA VARIANTE DE RANSOMWARE CRYPTXXX CAZADO POR LA HEURISTICA DEL ELISTARA

Seguimos recibiendo muestras del reciente ransomware CRPTXXX, que copia el RUNDLL32.EXE del sistema como SVCHOST.EXE (el cual tambien es detectado y aparcado), y crea el ransomware propiamente dicho, que en este caso ha llamado

90.TMP.DLL.Muestra EliStartPage v34.61

el cual ya ha aparcado en C:\muestras, y pasamos a controlar especificamente como CRYPTXXX a partir del ELISTARA 34.53 de hoy.

El preanalisis de virustotal ofrece el siguiente informe:
MD5 62e9f6ca6533244f4a549bbc85813530
SHA1 f10e9b5a80c39e61505af8794fc5115a56b8aa0e
Tamaño del fichero 352.0 KB ( 360448 bytes )
SHA256: 08826e0a9c5b02d7c46a3652ef1e271856ba8fe8366cb928e3830e4a5863d5a4
Nombre: 90.tmp.dll
Detecciones: 26 / 56
Fecha de análisis: 2016-05-26 07:35:12 UTC ( hace 9 minutos )
0 1
Antivirus Resultado Actualización
ALYac Trojan.Ransom.CryptXXX 20160526
AVG FileCryptor.LJC 20160526
AVware Trojan.Win32.Generic!BT 20160526
Ad-Aware Gen:Variant.Razy.59944 20160526
AhnLab-V3 Trojan/Win32.CryptXXX 20160525
Arcabit Trojan.Razy.DEA28 20160526
Avast Win32:Rootkit-gen [Rtk] 20160526
Avira (no cloud) TR/Crypt.EPACK.kfwx 20160526
Baidu Win32.Trojan.WisdomEyes.151026.9950.9951 20160526
BitDefender Gen:Variant.Razy.59944 20160526
DrWeb Trojan.Encoder.4393 20160526
ESET-NOD32 Win32/Filecoder.CryptProjectXXX.E 20160526
Emsisoft Gen:Variant.Razy.59944 (B) 20160526
F-Secure Gen:Variant.Razy.59944 20160526
GData Gen:Variant.Razy.59944 20160526
Ikarus Trojan.Win32.Filecoder 20160526
Kaspersky HEUR:Trojan.Win32.Generic 20160526
McAfee RDN/Ransom 20160526
McAfee-GW-Edition BehavesLike.Win32.Dropper.fh 20160526
eScan Gen:Variant.Razy.59944 20160526
Microsoft Ransom:Win32/Exxroute!rfn 20160526
Qihoo-360 Trojan.Generic 20160526
SUPERAntiSpyware Trojan.Agent/Gen-Kazy 20160526
Tencent Win32.Trojan.Filecoder.Wptp 20160526
TrendMicro-HouseCall Ransom_HPCRYPTXXX.SM 20160526
VIPRE Trojan.Win32.Generic!BT 20160526

Dicha versión del ELISTARA 34.63 que lo detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy.

saludos

ms, 26-5-2016