NUEVAS VARIANTES DE CRYPTOLOCKER TORRENT QUE SIGUEN LLEGANDO EN ENLACE DE FALSA CARTA DE CORREOS Y QUE PASAMOS A CONTROLAR CON ELISTARA

Igual que los anteriores, en un enlace de la dichosa falsa carta de Correos conduce a una pagina phishing que ofrece un CAPTCHA (22558) con el que acceder a un PHP que ofrece descarga de un ZIP, que contiene el EXE de marras, cuya ejecucion instala el ransomware y cifra los ficheros de datos de unidades compartuidas.

Los dos ultimos que hemos recibido son mas de lo mismo, cuyos hashes SHA1 son los siguientes:

«E160B48C7809BD00B8CCA7A2FD10F64740DB63BB» -> informacion_12391.exe 350178
«76E8F38D116A93CC73862351C9B1AD85DDC4C872» -> informacion_12381.exe 499622

Ambos los pasamos a controlar a partir de la version 34.25 del ELISTARA de hoy.
Los preanalisis de virustotal ofrecen el siguiente informe:
MD5 4c985acc6e93882ef131a16e6625d931
SHA1 76e8f38d116a93cc73862351c9b1ad85ddc4c872
Tamaño del fichero 487.9 KB ( 499622 bytes )
SHA256: 7ef1a5c1576e6384a7ff1ee7902c19aa7f7dee25e8bc8af3467d1687fc8aa775
Nombre: informacion_12381.exe
Detecciones: 5 / 57
Fecha de análisis: 2016-04-01 11:02:52 UTC ( hace 0 minutos )
0 1

Antivirus Resultado Actualización
Baidu Win32.Trojan.WisdomEyes.151026.9950.9991 20160331
Bkav HW32.Packed.D93E 20160401
Kaspersky UDS:DangerousObject.Multi.Generic 20160401
McAfee-GW-Edition BehavesLike.Win32.PWSZbot.gc 20160401
Qihoo-360 HEUR/QVM07.1.Malware.Gen 20160401

y el otro:

MD5 230622cec34150209f02d97156a151c7
SHA1 e160b48c7809bd00b8cca7a2fd10f64740db63bb
Tamaño del fichero 342.0 KB ( 350178 bytes )

SHA256: 27a9488de5c163463826744343bfac1cd21092b456a2878325b10aa6e2f2b3da
Nombre: informacion_12391.exe
Detecciones: 3 / 56
Fecha de análisis: 2016-04-01 10:34:11 UTC ( hace 27 minutos )
0 1

Antivirus Resultado Actualización
McAfee-GW-Edition BehavesLike.Win32.Dropper.fc 20160331
Qihoo-360 QVM42.0.Malware.Gen 20160401
Rising PE:Malware.Generic/QRS!1.9E2D [F] 20160401
Dicha version del ELISTARA 34.25 que los detecta y elimina, estará disponible en nuestra web a partir de las 15 h CEST de hoy
Como que son constantes las nuevas variantes y, como se puede ver, apenas son detectadas por los actuales AV (solo 3 de 56 AV en el ultimo caso), si se ha sufrido el cifrado indicado, podemos investigar el fichero causante en el informe de nuestra utilidad SPROCES.EXE, para lo cual, los asociados a nuestros servicios pueden enviarnos dicho informe indicando el problema para poder descubrir y «aparcar» el fichero malware añadiendo .VIR a su extension.

Y recordar lo que indicamos al respecto en:

https://blog.satinfo.es/2015/62372/

saludos

ms, 1-4-2016