NUEVO RANSOMWARE “WINLOGON” QUE IMPIDE EL ACCESO A LA UNIDAD, Y ADEMAS CODIFICA FICHEROS

Una nueva modalidad de ransomwares es este que bloquea el acceso al disco duro presentando una imagen de descifrado, que tambien añade en .txt para cada fichero que cifra

El acceso al disco duro puede lograrse arrancando en MODO SEGURO  y , con el ELISTARA  35.27 ya disponible en nuestra web, eliminar las claves que lanzan el bloqueo , para asi poder acceder a los ficheros cifrados, (doc, jpg, rtf, swf, txt, etc…) a los que añade
la extensión “.encrypted” y genera un TXT por cada fichero cifrado, con las instrucciones de descifrado:

“%nombre%.***.How_to_Decrypt_Your_Files.txt”

(Ver al final de esta noticia el texto de dicho fichero)

El preanalisis de virustotal ofrece el siguiente informe:

MD5 29523ded8c6edcdc28647960cf677524
SHA1 589605b362283feba9e3d671c8ed198cf5b8b2c1
File size 12.0 KB ( 12288 bytes )
SHA256:     26785ac3885fed4a29731ff96defd2c3bfbf4b0fd8502e6df7d95537f437e0e4
File name:     winlogon.exe.vir
Detection ratio:     33 / 58
Analysis date:     2016-09-23 02:01:28 UTC ( 5 hours, 21 minutes ago )
0
1

Antivirus     Result     Update
ALYac     Gen:Win32.Malware.aqW@aWCXw5g     20160922
AVG     Win32/DH{gVKBUXmBRg}     20160923
Ad-Aware     Gen:Win32.Malware.aqW@aWCXw5g     20160923
Antiy-AVL     Trojan[:HEUR]/Win32.AGeneric     20160923
Arcabit     Gen:Win32.Malware.E042E0     20160923
Avast     Win32:Malware-gen     20160923
Avira (no cloud)     TR/Crypt.XPACK.Gen2     20160922
BitDefender     Gen:Win32.Malware.aqW@aWCXw5g     20160923
CrowdStrike Falcon (ML)     malicious_confidence_100% (W)     20160725
Cyren     W32/Trojan.IFQI-4212     20160923
ESET-NOD32     a variant of Win32/Filecoder.FQ     20160922
Emsisoft     Gen:Win32.Malware.aqW@aWCXw5g (B)     20160923
F-Secure     Gen:Win32.Malware.aqW@aWCXw5g     20160922
Fortinet     W32/FakeAV.CS!tr     20160923
GData     Gen:Win32.Malware.aqW@aWCXw5g     20160923
Ikarus     Trojan-Ransom.Fabiansom     20160922
Invincea     trojanspy.win32.skeeyah.a!rfn     20160917
Jiangmin     Trojan.Generic.aivhy     20160923
K7AntiVirus     Trojan ( 004f26cc1 )     20160922
K7GW     Trojan ( 004f26cc1 )     20160923
Kaspersky     HEUR:Trojan.Win32.Generic     20160923
Malwarebytes     Ransom.Apocalypse     20160922
McAfee     Artemis!29523DED8C6E     20160923
McAfee-GW-Edition     BehavesLike.Win32.Downloader.lt     20160922
eScan     Gen:Win32.Malware.aqW@aWCXw5g     20160923
Microsoft     Trojan:Win32/Malex.gen!E     20160922
Panda     Trj/GdSda.A     20160922
Qihoo-360     Win32/Trojan.56b     20160923
Sophos     Mal/FakeAV-CS     20160922
Symantec     Heur.AdvML.C     20160923
Tencent     Win32.Trojan.Filecoder.Hrfe     20160923
TrendMicro     Ransom_APOCALYPSE.F116IM     20160923
TrendMicro-HouseCall     Ransom_APOCALYPSE.F116IM     20160923

Dicha versión del ELISTARA 35.27 que lo detecta y elimina, estará disponible en nuestra web a partir de hoy mismo.

Cabe notar que a los ficheros cifrados les añade la misma extensión que al antiguo CRYPTOLOCKER, esto es “.encrypted”, si bien en este caso, además, crea un fichero .txt con el nombre del fichero cifrado, por cada fichero cifrado, indicando la misma pantalla de bloqueo:

saludos

ms, 23.9.2016