SIGUE LA GENERACION DE NUEVAS VARIANTES DE TESLACRYPT, QUE SE DESCARGAN EN SUCESIVAS EJECUCIONES DEL DOWNLOADER

Cada vez que el hacker actualiza con nuevas versiones el dichoso ransomware, el mismo downloader descarga las nuevas variantes, y asi hasta que se canse…

Con un programa-robot que vaya modificando e instalando dichas nuevas variantes, como parece que hace el hacker, las nuevas variantes descargadas parecen no tener fin, como hemos visto a lo largo de esta mañana, en 4 lanzamientos del mismo downloader NEMUCOD.

Hemos ido mejorando la tecnica de deteccion, haciendola diferente en ordenadores de 32 que en los de 64 bits, asi como en funcion del sistema operativo, pues la instalacion del ransomware la efectua en diferente carpeta del sistema segun su criterio, y asi lo vamos a controlar a partir del ELISTARA 34.08 que estará disponible en nuestra web a partir de las 15 h CEST de hoy

Ahora mismo acabamos de ingresar dos nuevos engendros, que casi ningun AV detecta por lo recientes que son, segun se puede ver en los analisis correspondientes de virustotal:

MD5 689631dbc751184f28cde0245c4cab15
SHA1 efa4ad38fb0ff72298a2db253fbcf8e0b5bf956c
Tamaño del fichero 372.0 KB ( 380928 bytes )
SHA256: 9d0df8bc52450cbfeba6d2c766db957b5be4a83712be507fc76caaa73e5ccffb
Nombre: 87(03).exe
Detecciones: 2 / 56
Fecha de análisis: 2016-03-04 10:59:21 UTC ( hace 1 minuto )
0 1

Antivirus Resultado Actualización
McAfee Ransomware-FFR!689631DBC751 20160304
Qihoo-360 QVM07.1.Malware.Gen 20160304

y la otra muestra:

MD5 ca119a58673b76a064512f6b9305f3b2
SHA1 ad5fdcd3ecc800737a3e1f34ea1093b4bd20af73
Tamaño del fichero 372.0 KB ( 380928 bytes )
SHA256: c279f3b3e8f6ea307219d720a831c9c6113c6edc07d3820c60aabd3461684358
Nombre: 80(03).exe
Detecciones: 2 / 56
Fecha de análisis: 2016-03-04 10:57:49 UTC ( hace 17 minutos )
0 1

Antivirus Resultado Actualización
McAfee Ransomware-FFR!CA119A58673B 20160304
Qihoo-360 HEUR/QVM07.1.Malware.Gen 20160304

Y gracias a Dios, parece que McAfee “se ha puesto las pilas” en la deteccion de dichas nuevas variantes, ya que los detecta recien salidos del horno … :)))

Nosotros, con el ELISTARA 34.08, o los detectamos especificamente o pedimos muestra de ellos y los aparcamos en C:\muestras, para que no se lancen en los siguientes reinicios.

Lo malo es que el hacker o los hackers (seguramente son un grupito) van haciendo cambios continuamente, y no sabemos lo que harán mañana… pero para esto estamos :)))

De momento, hasta hoy, lo estamos controlando !

saludos

ms, 4-3-2016