NUEVAS VARIANTES DE RANSOMWARE LOCKY RECIBIDAS ANEXADAS A MAILS NO SOLICITADOS

En mails no solicitados como el que ofrecemos a continuacion:
MAIL MALICIOSO
______________
Asunto: FW: Order Status #655588
De: Emanuel York <YorkEmanuel45@flightparamedic.org>
Fecha: 21/03/2016 19:26
Para: virus <DESTINATARIO>

Dear virus,

We would like to thank you for your recent order.

Order Status updated on: 21/03/2016
Your Customer ID: 655588
Your Order ID: 895E3A615A-M-2016
Invoice Number: 3726712

Delivery Note:
We received your order and payment on 17/03/2016

Your order details are attached.

Best regards,
Emanuel York
Head of Maintenance
ANEXADO: details-order_655588.zip (CONTENIENDO 2 JS : f90861c_e-bill.js Y confirmation_8568086e.js, ambos JS conteniendo instalacion de ransomware LOCKY)

________________

FIN DEL MAIL MALICIOSO
Ambos JS son downloaders del Locky, que pasamos a controlar a partir del ELISTARA 34.20 de hoy
Los preanalisis de virustotal ofrecen los siguientes informes:
MD5 d45d4882bdcf1eb8f3820f00a536aa60
SHA1 78249d04d086370a8f3a982f8ef02347cc3d2ae1
Tamaño del fichero 7.3 KB ( 7430 bytes )
SHA256: be8f42a43f4b3663e583e085468244a841f53173ec0b2a35fe9f0c476248d38a
Nombre: f90861c_e-bill js
Detecciones: 11 / 56
Fecha de análisis: 2016-03-22 08:46:20 UTC ( hace 25 minutos )
0 1

Antivirus Resultado Actualización
AVG JS/Heur 20160321
Arcabit HEUR.JS.Trojan.b 20160322
Avira (no cloud) JS/Dldr.Locky.77447 20160322
Cyren JS/Locky.M1!Eldorado 20160322
ESET-NOD32 JS/TrojanDownloader.Nemucod.LC 20160322
F-Prot JS/Locky.M1!Eldorado 20160322
F-Secure Trojan-Downloader:JS/Locky.F 20160322
GData Script.Trojan-Downloader.Agent.OY@gen 20160322
Ikarus Trojan-Downloader.JS.Nemucod 20160322
NANO-Antivirus Trojan.Script.Heuristic-js.iacgm 20160322
Sophos Troj/JSDldr-FZ 20160322
y el otro:
MD5 1dae046d6aacdccf835fae2e0c1456c3
SHA1 9ca12f865c6c3f01bb4fd0fa15a38867e669d826
Tamaño del fichero 7.9 KB ( 8126 bytes )

SHA256: 985a58a57d3db1ac758664b519ca5952782a9853ca6847cbce488236dbab7936
Nombre: confirmation_8568086e js
Detecciones: 13 / 56
Fecha de análisis: 2016-03-22 08:45:21 UTC ( hace 32 minutos )
0 1

Antivirus Resultado Actualización
AegisLab Troj.Downloader.Script!c 20160322
Arcabit HEUR.JS.Trojan.b 20160322
Avira (no cloud) JS/Dldr.Locky.78543 20160322
Cyren JS/Locky.M1!Eldorado 20160322
ESET-NOD32 JS/TrojanDownloader.Nemucod.LC 20160322
F-Prot JS/Locky.M1!Eldorado 20160322
F-Secure Trojan-Downloader:JS/Locky.F 20160322
Fortinet JS/Nemucod.LC!tr 20160322
GData Script.Trojan-Downloader.Agent.OY@gen 20160322
Ikarus Win32.Outbreak 20160322
Kaspersky HEUR:Trojan-Downloader.Script.Generic 20160322
NANO-Antivirus Trojan.Script.Heuristic-js.iacgm 20160322
Sophos Troj/JSDldr-FZ 20160322
Ninguno de los dos JS es detectado por McAfee y solo uno de ellos por Kaspersky, por lo que enviamos las muestras de los no detectados a dichos fabricantes para que añadan su control y eliminacion a las nuevas versiones de sus AV
Dicha verison del ELISTARA 34.20 que los detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy
saludos

ms, 22-3-2016