NUEVO MAIL MASIVO QUE ANEXA FICHERO DOC CON MACROS MALICIOSAS (INVOICE.DOC)

Se recibe un mail anexando fichero INVOICE.DOC con macros maliciosas que descargan enlace a descarga de malware DRIDEX

El contenido del mail “invita” a abrir el fichero adjunto…:

MAIL MALICIOSO
______________
Asunto: Daily Mail – Payment overdue
De: Raashida Sufi <Raashida.Sufii@dmgmedia.co.uk>
Fecha: 19/01/2016 09:42
Para: “DESTINATARIO”

Hi,

I have currently taken over from my colleague Jenine so will be your new POC going forward.

I have attached an invoice that is currently overdue for £360.00. Kindly email me payment confirmation today so we can bring your account up to date?

ANEXADO: INVOICE.DOC
______________________

FIN DEL MAIL MALICIOSO

El preanalisis en virustotal de dicho DOC ofrece el siguiente informe:

MD5 8b636430b5e13cbd9d9339dbcaaa973a
SHA1 f081119f8efd98c9e09d8ed652c69267acc4a700
Tamaño del fichero 73.5 KB ( 75264 bytes )

SHA256: 503d7c05c034a87074b37267dded23bfb158f3fc08ec3d2be901939b5f5ede33
Nombre: Invoice.doc
Detecciones: 17 / 54
Fecha de análisis: 2016-01-20 09:48:44 UTC ( hace 1 minuto )
0 1

Antivirus Resultado Actualización
AVG W97M/Downloader 20160120
Arcabit HEUR.VBA.Trojan.d 20160120
Avast Other:Malware-gen [Trj] 20160120
Avira W2000M/Donoff.N 20160120
Cyren W97M/Downldr 20160120
DrWeb W97M.DownLoader.816 20160120
ESET-NOD32 VBA/TrojanDownloader.Agent.AOX 20160120
F-Prot New 20160120
F-Secure Trojan:W97M/MaliciousMacro.GEN 20160120
Fortinet WM/Trojandownloader.3042!tr 20160120
Kaspersky Trojan-Downloader.MSWord.Agent.yw 20160120
Microsoft TrojanDownloader:O97M/Donoff.AV 20160120
Panda O97M/Downloader 20160119
Qihoo-360 heur.macro.download.cc 20160120
Sophos Troj/DocDl-ATN 20160120
TrendMicro W2KM_DRIDEX.BYX 20160120
TrendMicro-HouseCall W2KM_DRIDEX.BYX 20160120

La ejecucion de las macros descarga un enlace a un malware DRIDEX que pasamos a controlar con el ELISTARA 33.77 de hoy

El preanalisis de virustotal de dicho nuevo DRIDEX ofrece el siguiente informe:
MD5 db9694246738a838161a0ae425acea77
SHA1 7415863a9863f595eb5fe6151d804f85d494c0e2
Tamaño del fichero 177.0 KB ( 181250 bytes )

SHA256: a6f1217017a989f1343c3b6543189b0925b703ea3c367c584b8002fc8f5df65b
Nombre: 08g7g6r56r.exe
Detecciones: 25 / 54
Fecha de análisis: 2016-01-20 08:20:51 UTC ( hace 55 minutos )
0 6
Antivirus Resultado Actualización
AVG Luhe.Fiha.A 20160120
Arcabit Trojan.Generic.D2DBBC0 20160120
Avast Win32:Malware-gen 20160120
Avira TR/Crypt.Xpack.416681 20160120
BitDefender Trojan.GenericKD.2997184 20160120
Comodo TrojWare.Win32.Dridex.AA 20160120
DrWeb Trojan.Dridex.281 20160120
ESET-NOD32 Win32/Dridex.AA 20160120
Emsisoft Trojan.Win32.Dridex (A) 20160120
F-Secure Trojan.GenericKD.2997184 20160120
Fortinet W32/Injector.CQLA!tr 20160120
GData Trojan.GenericKD.2997184 20160120
K7AntiVirus Trojan ( 004d86461 ) 20160120
K7GW Trojan ( 004d86461 ) 20160120
Kaspersky Trojan.Win32.Diple.glif 20160120
Malwarebytes Trojan.Xcsidl 20160120
McAfee Artemis!DB9694246738 20160120
McAfee-GW-Edition BehavesLike.Win32.Downloader.cc 20160120
MicroWorld-eScan Trojan.GenericKD.2997184 20160120
NANO-Antivirus Trojan.Win32.CQJV.dzroxz 20160120
Sophos Mal/Zbot-UH 20160120
Symantec Suspicious.Cloud.2 20160119
TrendMicro TSPY_DRIDEX.YYSQN 20160120
TrendMicro-HouseCall TSPY_DRIDEX.YYSQN 20160120
nProtect Trojan/W32.Diple.181250 20160120

Dicha version del ELISTARA 33.77 que lo detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy

saludos

ms, 20-1-2016