NUEVO MAIL MASIVO CON FICHERO ANEXADO QUE DESCARGA RANSOMWARE LOCKY

Un nuevo mail, tan escueto como que solo aparece el Asunto y demas datos de la cabecera (remitente, fecha y destinatario), en el que figura como remitente un supuesto ADMIN del destinatario… lleva anexado un ZIP cuyo contenido es un JS DOWNLOADER que descarga e instala un ransomaware LOCKY

El mail en cuestion ofrece el siguiente texto:

MAIL MASIVO CON FICHERO MALICIOSO ANEXADO

_________________________________________
Asunto: DOC-A82E8E20
De: admin <adm245@detinatario.es>
Fecha: 09/03/2016 16:59
Para: detinatario.es

ANEXADO: DOC-A82E8E20.zip (CONTENIENDO IWB5688768808.js INFECTADO CON downloader que descarga un ransomware LOCKY)
______________________

FIN DEL MAIL MALICIOSO

Dicho fichero JS contenido en el ZIP pasa a ser controlado especificamente a partir del ELISTARA 34.12 de hoy

EL preanalisis de dicho fichero ofrece el siguiente informe:

MD5 912fa5859be74630f096381cb8b86b72
SHA1 d9ed371f25695d07b764e09beeff849256e429bf
Tamaño del fichero 6.4 KB ( 6548 bytes )
SHA256: 5859e583aa4bde825da4ca40ce9aa64db3137457700435dba7aedd79f33aa76e
Nombre: IWB5688768808.js
Detecciones: 15 / 57
Fecha de análisis: 2016-03-10 08:25:20 UTC ( hace 1 minuto )
0 1

Antivirus Resultado Actualización
AVG JS/Downloader.Agent 20160310
Ad-Aware Trojan.Agent.BROZ 20160310
Arcabit HEUR.JS.Trojan.b 20160310
BitDefender Trojan.Agent.BROZ 20160310
Cyren JS/Locky.D!Camelot 20160310
ESET-NOD32 JS/TrojanDownloader.Nemucod.IL 20160310
Emsisoft Trojan.Agent.BROZ (B) 20160310
F-Secure Trojan.Agent.BROZ 20160310
Fortinet JS/Nemucod.IL!tr 20160310
GData Trojan.Agent.BROZ 20160310
McAfee JS/Downloader.gen.bd 20160310
McAfee-GW-Edition JS/Downloader.gen.bd 20160309
eScan Trojan.Agent.BROZ 20160310
Qihoo-360 trojan.js.downloader.1 20160310
Tencent Win32.Trojan.Raas.Auto 20160310

Como que Kaspersky aun no lo conoce, pasamos a enviarle muestra para que añadan su control en la proxima version de su AV

Dicha version del ELISTARA 34.12 que lo detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy

saludos

ms, 10-3-2016