NUEVA VARIANTE DE RANSOMWARE ZEPTO CUYA DLL DESCARGADA POR EL JS NO ES DESCIFRADA AUTOMATICAMENTE (LA HEMOS DESCIFRADO MANUALMENTE MUY FACILMENTE)

Visto que cientos de ZEPTO que descarga el .js que contienen los ZIP anexados a los mail en cuestión, no son operativos, hemos analizado el contenido de dichos .js y visto que están cifrados con un XOR muy simple, que por error (y afortunadamente) el descifrador no funciona en la descarga del NEMUCOD o similar que contiene dicho .js.

Por desgracia pronto se darán cuenta de ello y tendremos una avalancha de ZEPTO operativos.

En este caso igualmente lo pasamos a controlar, tanto el .js, como la DLL descifrada.

El preanalisis de la DLL en cuestión, ofrece el siguiente informe:

MD5 83733524350bdf8b197818d9c2f2583a
SHA1 9efd277142311672c49d6b1a68341f9d89dd1f30
File size 156.0 KB ( 159744 bytes )
SHA256:  8d7580920efeb9b95c1fcf5f0190e83f31d4cf4e5ba062943bdc1ad91da6cdb6
File name:  g76gyui.dll
Detection ratio:  7 / 58
Analysis date:  2016-09-08 14:43:59 UTC ( 4 minutes ago )
0
1

Antivirus  Result  Update
Baidu  Win32.Trojan.WisdomEyes.151026.9950.9953  20160908
Bkav  HW32.Packed.BA22  20160908
CrowdStrike Falcon (ML)  malicious_confidence_100% (D)  20160725
Invincea  backdoor.win32.qakbot.t  20160830
Kaspersky  UDS:DangerousObject.Multi.Generic  20160908
Rising  Malware.Generic!KTGFrIQNR1P@2 (thunder)  20160908
Tencent  Win32.Trojan.Raas.Auto  20160908

Dicha versión del ELISTARA 35.17 que lo detecta y elimina, estará disponible en nuestra web a partir del 9-9-2016

saludos

ms, 8-9-2016