NUEVO MAIL QUE SE RECIBE CON EL MISMO REMITENTE QUE DESTINATARIO Y ADJUNTA RANSOMWARE LOCKY

En un escueto mail de este tipo:

________

Asunto: Document 2
De: <destinatario>
Fecha: 22/03/2016 12:07
Para: <destinatario>

ANEXADO : Document 2.zip (CONTENIENDO FICHERO MWB4270385227.js CON RANSOMWARE LOCKY)
_________

se recibe un empaquetado cuyo contenido es un JS que instala un ransowmare LOCKY, el cual despues de cifrar los ficheros de datos de las unidades compartidas, se autoelimina, él y la posible clave de lanzamiento que pudiera haber para relanzarlo en el siguiente reinicio si no hubiera terminado la “faena”, pero el caso es que despues de ello ya no hay restos, solo un fondo de pantalla con las instrcciuones del rescate, el cual es eliminado con el ELISTARA

A partir del ELISTARA 34.20 de hoy hemos añadido el control de dicho JS, del cual el preamalisis de virustotal ofrece el siguiente informe:

MD5 3d9d068b14ccba263df23d3b2a8f07bd
SHA1 b258d3954c52356d0d690d143db18ad7aa53208a
Tamaño del fichero 6.3 KB ( 6494 bytes )
SHA256: 583c0bc276a0257b2128658af354afc6829e0fbcb84d4651d273cde916d81ca3
Nombre: MWB4270385227.js
Detecciones: 3 / 57
Fecha de análisis: 2016-03-22 16:01:28 UTC ( hace 14 minutos )
0 1

Antivirus Resultado Actualización
Arcabit HEUR.JS.Trojan.b 20160322
Avast Other:Malware-gen [Trj] 20160322
Tencent Js.Trojan.Raas.Auto 20160322

Como se ve son muy pcoos los AV que lo detectan, por lo que enviamos muestras a McAfee y Kaspersky para que añadan su control y eliminacion en las proximas versiones de sus AV

Dicha version del ELISTARA 34.20 que lo detecta y elimina,e stará disponible en nuestra web a partir de las 18 h CEST de hoy

saludos

ms, 22-3-2016