NUEVAS VARIANTES DE RANSOMWARE ZEPTO, EL SUCESOR DEL LOCKY QUE LLEGA EN LAS MACROS DE FICHEROS WORD

Como ya hemos indicado recientemente, actualmente se están recibiendo documentos de word con macros, cuya apertura causa la descarga e instalación de ransomware ZEPTO, reciente mutación del conocido Locky.

Se puede ver la detección de los DOC (downloader) en el preanalisis de virustotal, a saber:

MD5 e64f3f7e2571fb70be22bab92c7dbec0
SHA1 7a13f1a6839e4b8b4bca93b7a1a5d99786b194f0
Tamaño del fichero 30.9 KB ( 31675 bytes )
SHA256:  d340f6d0ca4ec4467193565e33c45d448eed8e5d2d8abd7535f5b1e5d5d34146
Nombre:  e64f3f7e2571fb70be22bab92c7dbec0.doc
Detecciones:  30 / 55
Fecha de análisis:  2016-07-11 10:53:25 UTC ( hace 1 minuto )
0
4

Antivirus  Resultado  Actualización
ALYac  W97M.Downloader.DSN  20160711
AVG  W97M/Downloader  20160711
Ad-Aware  W97M.Downloader.DSN  20160711
AhnLab-V3  W97M/Downloader  20160711
Antiy-AVL  Trojan[Downloader]/MSWord.Cryptoload.g  20160711
Arcabit  W97M.Downloader.DSN  20160711
Avast  Other:Malware-gen [Trj]  20160711
Avira (no cloud)  W2000M/Agent.831722  20160711
Baidu  VBA.Trojan-Downloader.Agent.amj  20160711
BitDefender  W97M.Downloader.DSN  20160711
ClamAV  Doc.Dropper.Agent-1514567  20160711
Cyren  PP97M/Downldr  20160711
DrWeb  W97M.DownLoader.1083  20160711
ESET-NOD32  VBA/TrojanDownloader.Agent.BJU  20160711
Emsisoft  W97M.Downloader.DSN (B)  20160711
F-Prot  New or modified PP97M/Downldr  20160711
F-Secure  W97M.Downloader.DSN  20160711
Fortinet  WM/Agent.BJC!tr.dldr  20160711
GData  W97M.Downloader.DSN  20160711
Ikarus  Win32.Outbreak  20160711
Kaspersky  Trojan-Downloader.MSWord.Cryptoload.g  20160711
McAfee  W97M/Downloader!B4C8F90CAA97  20160711
Microsoft  TrojanDownloader:O97M/Donoff.BX  20160711
NANO-Antivirus  Trojan.Script.Locky.eegiss  20160711
Qihoo-360  heur.macro.download.cc  20160711
Sophos  Troj/DocDl-DTQ  20160711
Symantec  W97M.Downloader  20160711
Tencent  Macro.Trojan.Dropperd.Auto  20160711
TrendMicro  W2KM_LOCKY.FAW  20160711
nProtect  W97M.Downloader.DSN  20160711

Los cuales descargan un EXE, que es lo que controlamos con el ELISTARA, que subido al virustotal ofrece el siguiente informe:

MD5 d545010d3d01156c93b994ec0a6bee27
SHA1 bceaac6689e36673c887de1c6adef54db51adf62
Tamaño del fichero 263.5 KB ( 269824 bytes )
SHA256:  1a3cd692113e42be0c0de8867be77d3ec0acebde1dd55376beefb58391c40457
Nombre:  d545010d.exe
Detecciones:  36 / 54
Fecha de análisis:  2016-07-11 10:35:12 UTC ( hace 7 minutos )
0
10

Antivirus  Resultado  Actualización
ALYac  Trojan.GenericKD.3386984  20160711
AVG  FileCryptor.MAX  20160711
AVware  Trojan.Win32.Generic!BT  20160711
Ad-Aware  Trojan.GenericKD.3386984  20160711
AhnLab-V3  Trojan/Win32.Locky.N2042965965  20160711
Antiy-AVL  Trojan[Ransom]/Win32.Locky  20160711
Arcabit  Trojan.Generic.D33AE68  20160711
Avast  Win32:Malware-gen  20160711
Avira (no cloud)  TR/Crypt.Xpack.qxtx  20160711
BitDefender  Trojan.GenericKD.3386984  20160711
Cyren  W32/Ransom.OVFT-3951  20160711
DrWeb  Trojan.Encoder.3976  20160711
ESET-NOD32  Win32/Filecoder.Locky.H  20160711
Emsisoft  Trojan.GenericKD.3386984 (B)  20160711
F-Secure  Trojan.GenericKD.3386984  20160711
Fortinet  Malicious_Behavior.VEX.89  20160711
GData  Trojan.GenericKD.3386984  20160711
Ikarus  Trojan.Win32.Filecoder  20160711
Jiangmin  Trojan.Locky.apj  20160711
K7AntiVirus  Trojan ( 004f3c581 )  20160711
K7GW  Trojan ( 004f3c581 )  20160711
Kaspersky  Trojan-Ransom.Win32.Locky.amc  20160711
McAfee  RDN/Ransom  20160711
McAfee-GW-Edition  BehavesLike.Win32.PWSZbot.dc  20160711
eScan  Trojan.GenericKD.3386984  20160711
Microsoft  Ransom:Win32/Locky.A  20160711
NANO-Antivirus  Trojan.Win32.Encoder.eehjyk  20160711
Panda  Trj/GdSda.A  20160710
Sophos  Troj/Locky-DQ  20160711
Symantec  Trojan Horse  20160711
Tencent  Win32.Trojan.Inject.Auto  20160711
TrendMicro  Ransom_LOCKY.DLXFK  20160711
TrendMicro-HouseCall  Ransom_LOCKY.DLXFK  20160711
VIPRE  Trojan.Win32.Generic!BT  20160711
ViRobot  Trojan.Win32.Z.Locky.269824[h]  20160711
nProtect  Ransom/W32.Locky.269824  20160711

DIcha versión del ELISTARA 34.94 que detecta y elimina dichos EXE, estará disponible en nuestra web a partir de las 15 h CEST de hoy

saludos

ms, 11-7-2016